網路資安廠商 Palo Alto Networks 旗下威脅情報團隊 Unit 42 更新威脅簡報指出，Qilin 與 INC 兩個勒索軟體集團正實際利用 PAN-OS 漏洞
CVE-2026-0257，入侵企業網路並繞過多因素驗證（MFA）以建立 VPN 連線。Unit 42 警告，攻擊者得手後會直接轉向虛擬化層，藉此避開主機內的端點偵測與回應（EDR）防護。
認證繞過漏洞遭勒索軟體集團鎖定
CVE-2026-0257 是 PAN-OS 軟體入口網站與閘道元件中的認證繞過（authentication bypass）漏洞，未經授權的攻擊者可藉此規避安全控制並發起虛擬私人網路（VPN）連線。據外媒報導，該漏洞 CVSS 評分為 7.8，已於 5 月修補。美國網路安全暨基礎設施安全局（CISA）則在 5 月 13 日，將其列入已知遭利用漏洞（KEV）目錄。
Unit 42 在 10 月 19 日的更新中指出，
實際利用此漏洞的勒索軟體集團包括 Qilin 與 INC，Unit 42 分別以 Spikey Scorpius 與 Tarnished Scorpius 追蹤。Unit 42 也提到，資安業者 ReliaQuest 的公開報告，將這波利用歸因於使用 Settra 勒索軟體的攻擊者。
Unit 42 表示，相關調查自 6 月初起持續進行，涉及的產業涵蓋教育、金融服務、醫療、高科技、旅宿、製造、專業與法律服務、政府、運輸與物流、公用事業與能源，以及批發與零售。
取得 VPN 連線後的攻擊流程
攻擊者先利用漏洞取得企業網路的初始立足點，再繞過 MFA 建立 VPN 工作階段。接著，他們通常會使用雙重用途的遠端監控與管理（RMM）工具進行內部網路偵察，並透過遠端桌面通訊協定（RDP）與伺服器訊息區塊（SMB）橫向移動。同時，攻擊者還會部署額外工具，用於竊取憑證、外洩資料及投放勒索軟體。
直取虛擬化層，繞過主機內防護
Unit 42 指出，漏洞遭利用後，最顯著的戰術、技術與程序（TTPs）演變，是直接轉向虛擬化層。在一起值得注意的案例中，攻擊者從遭入侵的 VPN 閘道，移往 vCenter 管理設備。他們在 ESXi 主機上停用安全控制（execInstalledOnly），並使用自製工具，直接對網域控制站的虛擬磁碟（VMDK）進行離線憑證傾印（credential dumping）。
Unit 42 說明，這種做法能繞過主機內的 EDR 與其他安全控制，是取得整個網域憑證的高度複雜手法。此外，Unit 42 也觀察到攻擊者將此初始入侵手法，與其他攻擊工具串接，例如鎖定資料備份軟體業者 Veeam 備份基礎設施的已知漏洞
CVE-2023-27532，以擴大破壞。
據外媒報導，資安業者 Arctic Wolf 在 7 月就曾示警 Qilin 利用此漏洞，攻擊型態從快速的僅加密行動，到完整的雙重勒索都有。
防護與因應建議
Palo Alto Networks 與 Unit 42 的建議如下：
- 除套用最新修補外，可依安全公告採取緩解措施，或升級至已修復版本。
- 主動獵捕 Unit 42 報告中列出的入侵指標（IoC），包括 IP 位址、主機名稱與 MAC 位址，並檢視 GlobalProtect 日誌。
- 若日誌出現與這些指標相關、已成功建立的閘道連線事件，應啟動事件應變程序。
- Unit 42 於 10 月 20 日補充：可從網路外部以瀏覽器對管理 IP 的 4443 與 3879 連接埠發起 HTTPS 連線，檢查管理介面是否意外暴露，並依 Interface Management profiles 文件限縮存取。
本文轉載自TheHackerNews。