Falha no GlobalProtect explorada pelo ransomware Qilin

O grupo de ransomware Qilin está a explorar uma vulnerabilidade crítica no GlobalProtect da Palo Alto Networks para comprometer redes empresariais, segundo a empresa de cibersegurança Arctic Wolf.

A vulnerabilidade, identificada como CVE-2026-0257, afeta o sistema operativo PAN-OS e permite contornar os mecanismos de autenticação do GlobalProtect, estabelecendo ligações VPN não autorizadas. A Palo Alto Networks disponibilizou uma correção a 13 de maio e alertou, poucos dias depois, para tentativas de exploração em equipamentos que permaneciam por atualizar.

De acordo com a Arctic Wolf, foram investigados vários incidentes ocorridos durante junho de 2026 em que a exploração da vulnerabilidade culminou na implementação do ransomware Qilin. A empresa considera que diferentes afiliados da operação Ransomware-as-a-Service (RaaS) estão a utilizar a falha para obter acesso inicial às redes das vítimas.

Segundo a investigação, os ataques apresentam diferentes níveis de sofisticação. Em alguns casos, os atacantes avançaram rapidamente para a cifragem dos sistemas, enquanto noutros realizaram operações de dupla extorsão, combinando a exfiltração de dados com a encriptação dos ficheiros.

A Agência de Cibersegurança e Segurança das Infraestruturas dos Estados Unidos (CISA) incluiu a vulnerabilidade no catálogo Known Exploited Vulnerabilities (KEV) no final de maio e, esta semana, confirmou que a falha está a ser utilizada em ataques de ransomware. Na altura, o organismo determinou que as agências federais corrigissem os sistemas afetados no prazo de três dias.

A Arctic Wolf considera que a exploração da vulnerabilidade deverá continuar, apontando para a atividade de reconhecimento observada na Internet e para o modelo operacional do Qilin, que distribui ferramentas e acesso a múltiplos afiliados.

Dados do Shadowserver Foundation indicam que existem mais de 167 mil instâncias do GlobalProtect expostas à Internet, enquanto o motor de pesquisa Shodan identifica mais de 172 mil endereços IP com esta tecnologia. Não é, contudo, conhecido quantos destes sistemas já receberam as atualizações de segurança disponibilizadas pela Palo Alto Networks.

O Qilin surgiu em 2022, inicialmente sob a designação Agenda, e evoluiu para uma das principais operações de ransomware como serviço. O grupo reivindicou mais de duas mil vítimas através do seu portal na dark web, incluindo organizações dos setores automóvel, saúde, media e administração pública.