Nuove fonti confermano l'attività persistente di gruppi ransomware che sfruttano la vulnerabilità CVE-2026-0257 in PAN-OS. Gli attaccanti hanno affinato le loro tattiche, puntando ora all'infrastruttura di virtualizzazione per un impatto devastante.
L'allarme sicurezza relativo alla vulnerabilità CVE-2026-0257 nel sistema operativo PAN-OS di Palo Alto Networks continua a risuonare, con nuove informazioni che delineano un quadro sempre più preoccupante. Attori malevoli, in particolare gruppi di ransomware, non hanno cessato di sfruttare questa falla, che consente di aggirare i meccanismi di autenticazione e ottenere accessi non autorizzati alle reti aziendali, persino bypassando l'autenticazione a più fattori (MFA).
Le nuove fonti confermano che l'attività di sfruttamento di CVE-2026-0257 è ancora in corso, nonostante Palo Alto Networks abbia rilasciato patch correttive già a maggio 2026. Questa vulnerabilità, che permette la creazione di connessioni VPN non autorizzate, è stata inserita nel catalogo delle Vulnerabilità Sfruttate Note (KEV) dalla CISA statunitense. I ricercatori di Unit 42 hanno identificato i gruppi Spikey Scorpius (noto anche come Qilin) e Tarnished Scorpius (associato anche al ransomware INC) come attori principali in queste campagne. L'uso di questa falla è stato precedentemente segnalato da Arctic Wolf nel luglio 2026, con attacchi che variavano da rapide operazioni di crittografia a complete minacce di doppia estorsione.
Una volta ottenuto un punto d'appoggio iniziale attraverso la VPN compromessa, gli attaccanti non si limitano più alla semplice ricognizione interna. Le nuove informazioni evidenziano un'evoluzione significativa nelle loro tecniche: i criminali informatici ora puntano direttamente allo strato di virtualizzazione. In casi documentati, gli aggressori sono riusciti a spostarsi dal gateway VPN compromesso all'appliance di gestione vCenter. Da qui, hanno disabilitato controlli di sicurezza critici sugli hypervisor ESXi, come l'opzione "execInstalledOnly", e hanno utilizzato strumenti personalizzati per estrarre credenziali offline direttamente dal disco virtuale (VMDK) di un domain controller. Questo approccio aggira efficacemente le protezioni di Endpoint Detection and Response (EDR) all'interno del sistema operativo guest, consentendo agli attaccanti di acquisire credenziali a livello di dominio.
Gli attaccanti stanno inoltre dimostrando una notevole capacità di concatenare diverse vulnerabilità per massimizzare il danno. È stato osservato che, dopo aver sfruttato CVE-2026-0257, i gruppi malevoli prendono di mira l'infrastruttura di backup Veeam, sfruttando una falla separata, CVE-2023-27532. Questa tattica combinata mira a compromettere la capacità di recupero delle vittime, rendendo più difficile il ripristino dei dati e aumentando la pressione per il pagamento del riscatto.
I settori colpiti da queste campagne sono estremamente diversificati, includendo sanità, istruzione, servizi finanziari, pubblica amministrazione, manifatturiero, energetico, alta tecnologia, ospitalità, servizi professionali e legali, trasporti e logistica, e vendita al dettaglio. Questa ampia diffusione sottolinea la gravità della minaccia e la necessità di una vigilanza costante.
Palo Alto Networks e i suoi ricercatori continuano a fornire indicazioni cruciali per la difesa. Oltre all'applicazione delle patch più recenti per PAN-OS e Prisma Access, le organizzazioni sono fortemente incoraggiate a:
Le organizzazioni che utilizzano distribuzioni ibride di Prisma Access devono inoltre verificare che i firewall on-premises siano aggiornati per garantire la compatibilità dei cookie in tutto l'ambiente. L'aggiornamento dei sistemi e una rigorosa attività di monitoraggio sono passi fondamentali per contrastare l'evoluzione di queste minacce sofisticate.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
