Palo Alto Networks, PAN-OS ve Prisma Access'i etkileyen artık yamalanmış bir güvenlik açığının fidye yazılımı aktörleri tarafından istismar edilmesini sürdürdüğünü açıkladı.
Etkinlik, kötü aktörlerin yetkisiz VPN bağlantıları kurmasına olanak tanıyan bir kimlik doğrulama atlama açığı olan CVE-2026-0257 ile ilgili. Açık CVSS puanı 7,8 olarak değerlendiriliyor. Palo Alto Networks açığı Mayıs 2026'da yamaladı ve ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CSIA tarafından 13 Mayıs 2026'da Bilinen İstismar Edilen Açıklar KEV kataloğuna eklendi.
"CVE-2026-0257'i istismar eden fidye yazılımı operatörleri arasında Spikey Scorpius, takma adıyla Qilin ve Tarnished Scorpius, takma adıyla INC bulunuyor" dedi Unit 42 araştırmacıları Pazartesi günü paylaştıkları güncellemede. Gelişme, ReliaQuest'in Qilin ve Settra fidye yazılımı gruplarının açığı finansal amaçlı saldırılarda aktif olarak istismar ettiğini tespit ettiğini açıklamasından günler sonra geldi.
Unit 42'ye göre tehdit aktörleri açığı kurumsal ağlara ilk erişim sağlamak için silahlandırıyor ve ardından çok faktörlü kimlik doğrulama kontrollerini atlayarak VPN oturumu kuruyor.
VPN oturumu kurulduktan sonra saldırganların şu son ihlal faaliyetlerinde bulunduğu tespit edildi.
Çift kullanımlı uzaktan izleme ve yönetim RMM araçları kullanarak dahili ağ keşfi yapıyor.
Ağda RDP ve SMB üzerinden yatay hareket ediyor.
Kimlik bilgisi toplama, veri sızdırma ve fidye yazılımı dağıtımı için ek araçlar hazırlıyor.
Bu gruplar tarafından yürütülen saldırılar eğitim, finansal hizmetler, sağlık, yüksek teknoloji, konaklama, imalat, profesyonel ve hukuk hizmetleri, hükümet, ulaşım ve lojistik, kamu hizmetleri ve enerji ile perakende dahil geniş bir sektör yelpazesini hedef aldı.
"CVE-2026-0257'nin başarılı istismarını takiben taktik, teknik ve prosedürlerdeki en önemli evrim, doğrudan sanallaştırma katmanına yönelmek oldu" dedi Unit 42.
"Dikkat çeken bir olayda saldırganlar tehlikeye atılan VPN geçidinden vCenter yönetim aygıtına geçti. Oradan ESXi hipervizörlerinde güvenlik kontrollerini devre dışı bıraktılar, execInstalledOnly, ve özel bir araçla etki alanı denetleyicisinin sanal diski VMDK üzerinde doğrudan çevrimdışı kimlik bilgisi dökümü gerçekleştirdiler."
Ağ güvenliği sağlayıcısının eklediği üzere bu yaklaşım, konuk içindeki uç nokta algılama ve müdahale EDR ile güvenlik korumalarını atlayarak tehdit aktörlerinin etki alanı çapında kimlik bilgilerini elde etmesine olanak tanıyor.
Saldırganların ilk erişim yöntemini diğer istismar araçlarıyla zincirleme kullandığı da gözlendi; maksimum zarar vermek için bilinen açıkları kötüye kullanarak Veeam yedekleme altyapısını hedefleme çabaları da dahil.
Qilin'in CVE-2026-0257'i istismar etmesi daha önce Temmuz 2026'da Arctic Wolf tarafından işaretlenmişti; saldırılar hızlı şifreleme odaklı işlemlerden tam çift şantaja kadar uzanıyordu.
En son düzeltmeleri uygulamanın yanı sıra Palo Alto Networks, kuruluşların olası ihlal göstergelerini proaktif olarak araştırmasını ve başarılı geçit bağlantılı olaylar tespit edilirse uygun olay müdahale protokollerini başlatmasını öneriyor.
