Qilin et INC exploitent la faille PAN-OS CVE-2026-0257 de Palo Alto Networks pour contourner la MFA et ouvrir des accès VPN.

Palo Alto Networks tire la sonnette d’alarme. L’éditeur constate que des acteurs du rançongiciel continuent d’exploiter une faille PAN-OS pourtant déjà corrigée. Les groupes Qilin et INC sont associés à ces attaques, qui visent aussi Prisma Access. Par conséquent, les organisations qui tardent à appliquer le correctif restent exposées.

Une faille PAN-OS toujours exploitée par des rançongiciels

La vulnérabilité porte l’identifiant CVE-2026-0257. Elle est notée 7,8 sur l’échelle CVSS. Il s’agit d’une faille de contournement d’authentification. Elle touche PAN-OS, le système d’exploitation des pare-feu de Palo Alto Networks, ainsi que Prisma Access, son service d’accès sécurisé.

L’éditeur a publié un correctif en mai 2026. Pourtant, l’exploitation se poursuit. Autrement dit, la publication d’un patch ne suffit pas à stopper les attaques. Il faut encore que les équipes l’installent rapidement.

Par ailleurs, la présence de Qilin et d’INC mérite l’attention. Ces deux groupes pratiquent le rançongiciel. Leur intérêt pour cette faille montre que l’accès VPN reste une porte d’entrée de choix pour préparer un chiffrement de données.

Ce que permet la CVE-2026-0257

Le défaut permet à un attaquant d’établir des connexions VPN non autorisées. Concrètement, il n’a pas besoin de passer les contrôles d’authentification prévus. Il obtient ainsi un point d’appui dans le réseau de la victime.

Un accès VPN illégitime est particulièrement dangereux. En effet, il place l’intrus à l’intérieur du périmètre de confiance. Ensuite, il peut explorer les systèmes, repérer les serveurs importants et préparer la suite de l’intrusion.

Le titre de l’information évoque également un contournement de l’authentification multifacteur. Cette précision est capitale. La MFA est censée protéger même quand un mot de passe fuite. Si la faille la neutralise, une défense majeure disparaît.

Les produits concernés

Deux produits sont cités par l’éditeur :

• PAN-OS, qui équipe les pare-feu de nouvelle génération de Palo Alto Networks ;
• Prisma Access, le service d’accès sécurisé proposé par le même éditeur.

Les administrateurs doivent donc vérifier ces deux environnements. Ils doivent aussi consulter l’avis de sécurité officiel pour connaître les versions corrigées exactes.

Pourquoi le contournement de la MFA inquiète

Les passerelles VPN sont des cibles stratégiques. Elles sont exposées sur Internet. De plus, elles donnent accès à des ressources internes sensibles. Un défaut d’authentification sur ces équipements offre donc un rapport effort-gain très favorable aux criminels.

Les groupes de rançongiciel savent en tirer parti. D’abord, ils obtiennent un accès initial discret. Ensuite, ils se déplacent latéralement dans le réseau. Enfin, ils exfiltrent des données et déploient le chiffrement. Cette chaîne d’attaque est désormais classique.

Cependant, une connexion VPN frauduleuse peut ressembler à un accès normal. Les équipes de sécurité risquent donc de la rater, surtout si les journaux ne sont pas surveillés de près. C’est pourquoi la détection doit s’ajouter à la correction.

Comment se protéger de la faille PAN-OS

La priorité est simple : appliquer sans délai le correctif publié en mai 2026. Un patch non installé reste la cause la plus fréquente de compromission réussie. Toutefois, d’autres mesures renforcent la défense.

1. Inventorier tous les pare-feu PAN-OS et les déploiements Prisma Access de l’organisation.
2. Vérifier que chaque équipement exécute une version corrigée, selon l’avis de l’éditeur.
3. Examiner les journaux VPN à la recherche de connexions inhabituelles, notamment des sessions sans authentification attendue.
4. Contrôler les comptes et les accès créés ou utilisés depuis la publication de la faille.
5. Segmenter le réseau afin de limiter les déplacements d’un intrus qui aurait franchi le VPN.

En outre, les entreprises doivent s’assurer que leurs sauvegardes sont isolées et testées. Un rançongiciel frappe d’abord les données. Des copies hors ligne et vérifiées restent le meilleur filet de sécurité.

Enfin, une compromission déjà survenue ne disparaît pas avec le correctif. Si des signes suspects apparaissent, il faut lancer une enquête. Il convient alors de réinitialiser les identifiants concernés et de rechercher toute persistance.

Ce qu’il faut retenir

• La CVE-2026-0257 (CVSS 7,8) est une faille de contournement d’authentification dans PAN-OS et Prisma Access.
• Elle permet d’établir des connexions VPN non autorisées.
• Palo Alto Networks l’a corrigée en mai 2026, mais constate une exploitation continue par des acteurs du rançongiciel.
• Les groupes Qilin et INC figurent parmi les acteurs concernés.
• Le correctif et la surveillance des accès VPN sont les deux urgences.

Cette affaire rappelle une règle constante. Un équipement de bordure non à jour devient vite une brèche. Les organisations gagneront donc à réduire leur délai d’application des correctifs sur ces systèmes critiques.

Source : Qilin and INC Ransomware Groups Exploit Palo Alto Networks Flaw to Bypass MFA