خلاصه اجرایی
به‌روزرسانی 19 اکتبر: واحد Unit 42 همچنان تلاش برای سوءاستفاده از CVE-2026-0257 توسط گردانندگان باج‌افزار از جمله گروه Spikey Scorpius با نام دیگر Qilin و گروه Tarnished Scorpius با نام دیگر Inc را مشاهده می‌کند. همچنین از گزارش‌های عمومی آگاه شده‌اند که بهره‌برداری را به عاملان تهدیدی نسبت می‌دهد که از باج‌افزار Settra استفاده می‌کنند.
واحد Unit 42 از شرکت Palo Alto Networks بهره‌برداری فعال از آسیب‌پذیری PAN-OS با شناسه CVE-2026-0257 را توسط یک عامل تهدید ناشناس که تلاش می‌کرد به GlobalProtect دسترسی یابد، مشاهده کرده است. این نقص امنیتی شامل دور زدن احراز هویت در مؤلفه‌های portal و gateway در نسخه‌های آسیب‌پذیر نرم‌افزار PAN-OS® است و می‌تواند به مهاجمان بدون احراز هویت اجازه دهد کنترل‌های امنیتی را دور بزنند و اتصال VPN برقرار کنند. این CVE در تاریخ 13 مه 2026 به فهرست Known Exploited Vulnerability (KEV) افزوده شد.
تا این لحظه هیچ رفتار پس از دسترسی یا جابه‌جایی جانبی شناسایی نشده است. صرفاً بخش کوچکی از دستگاه‌هایی که مورد بررسی قرار گرفتند نشست‌های VPN برقرار کردند و رویدادهای gateway-connected ثبت شد.
به سازمان‌ها توصیه می‌شود به‌صورت پیش‌دستانه به‌دنبال شاخص‌های فعالیت مشخص‌شده در این گزارش جست‌وجو کنند و برای هر رویداد موفق gateway-connected که به این شاخص‌ها مرتبط است، رویه‌های پاسخ‌گویی به رخداد را فعال کنند. علاوه بر این، اکیداً توصیه می‌شود اطلاعیه امنیتی CVE-2026-0257 را بررسی کنند، راهکارهای موقت و اقدامات کاهنده موجود را به‌کار گیرند یا به نسخه‌ای ارتقا دهند که اصلاح این مشکل را شامل می‌شود.
برای فعالیت‌های پیش از انتشار PoC (29 مه 2026)، برای یافتن اتصال ورود موفق، این آدرس‌های IP را در لاگ‌های GlobalProtect جست‌وجو کنید:
- 23.128.228[.]6
- 104.207.144[.]154
- 146.19.216[.]119
- 146.19.216[.]120
- 146.19.216[.]125
- 179.43.172[.]213
- 185.195.232[.]139
- 198.12.106[.]60
- 202.144.192[.]47
لاگ‌های GlobalProtect را برای رویدادهای موفق gateway-connected از هر آدرس IP که از شناسه‌های میزبان یا نام‌های دستگاه مشکوک استفاده کرده است جست‌وجو کنید؛ از جمله، بدون محدود شدن به موارد زیر:
- aa:bb:cc:dd:ee:ff
- 00:11:22:33:44:55
- WINDOWS-LAPTOP-001
- DESKTOP-GP01
- GP-CLIENT
به‌عنوان بخشی از پایش پس از انتشار PoC، لاگ‌های GlobalProtect را برای رویدادهای موفق gateway-connected که با مقادیر سخت‌کدشده پیکربندی client در کد PoC مطابقت دارند جست‌وجو کنید.
- فیلد endpoint_os_version: Microsoft Windows 10 Pro 64-bit.
- دامنه در فیلد source_user_info.domain: خالی.
توصیه می‌شود سازمان‌ها برای جزئیات بیشتر درباره آسیب‌پذیری، محصولات متاثر و راهنمای پیکربندی، به Palo Alto Networks Security Advisory مراجعه کنند. همچنین مطالعه تحلیل فنی شرکت Rapid7 درباره فعالیت بهره‌برداری که در حملات فعال مشاهده کرده‌اند توصیه می‌شود.
پلتفرم Cortex Xpanse از شرکت Palo Alto Networks قادر است درگاه‌های PAN-OS و پورتال‌های GlobalProtect که به‌صورت عمومی در معرض اینترنت هستند را شناسایی کند.
به‌روزرسانی: 19 اکتبر 2026
عاملان باج‌افزار که از CVE-2026-0257 سوءاستفاده می‌کنند شامل گروه Spikey Scorpius با نام دیگر Qilin و گروه Tarnished Scorpius با نام دیگر Inc هستند. گزارش عمومی این بهره‌برداری را به عاملان تهدیدی نسبت می‌دهد که از باج‌افزار Settra استفاده می‌کنند.
مهاجمان از این آسیب‌پذیری برای ایجاد جای پای اولیه در شبکه‌های سازمانی استفاده می‌کنند و سپس با دور زدن کنترل‌های احراز هویت چندعاملی (MFA) یک نشست VPN برقرار می‌سازند. پس از آن، عاملان تهدید معمولاً اقدامات زیر را انجام می‌دهند:
- انجام شناسایی شبکه داخلی با استفاده از ابزارهای دومنظوره remote monitoring and management (RMM).
- انجام جابه‌جایی جانبی از طریق پروتکل RDP و پروتکل SMB.
- استقرار ابزارهای تکمیلی برای جمع‌آوری اعتبارنامه، خروج داده و در نهایت استقرار باج‌افزار.
بررسی‌ها از اوایل ژوئن 2026 در جریان بوده است و صنایع متعددی را دربرگرفته است، از جمله:
- آموزش
- خدمات مالی
- سلامت و درمان
- فناوری پیشرفته
- تولید
- خدمات حرفه‌ای و حقوقی
- نهادهای دولتی
- حمل‌ونقل و لجستیک
- خدمات عمومی و انرژی
- عمده‌فروشی و خرده‌فروشی
مهم‌ترین تحول در تاکتیک‌ها، تکنیک‌ها و رویه‌ها (TTPs) پس از سوءاستفاده موفق از CVE-2026-0257، چرخش مستقیم به لایه مجازی‌سازی است. در یک مورد قابل توجه، مهاجمان از درگاه VPN به‌خطر افتاده به appliance مدیریتی vCenter منتقل شدند. سپس کنترل‌های امنیتی روی هایپروایزرهای ESXi را غیرفعال کردند (execInstalledOnly) و با یک ابزار سفارشی، عملیات تخلیه آفلاین اعتبارنامه را مستقیماً روی دیسک مجازی متعلق به کنترلر دامنه (VMDK) انجام دادند.
این روش کنترل‌های امنیتی و قابلیت‌های EDR داخل سیستم‌عامل مهمان را دور می‌زند و روشی بسیار پیشرفته برای به‌دست‌آوردن اعتبارنامه‌های دامنه در مقیاس سراسری ارائه می‌دهد. همچنین مشاهده شده است عاملان تهدید این دسترسی اولیه را با اکسپلویت‌های دیگر زنجیره می‌کنند؛ برای نمونه ابزارهایی که زیرساخت پشتیبان‌گیری Veeam را هدف می‌گیرند (CVE-2023-27532)، تا اثر خود را بیشینه کنند.
نتیجه‌گیری
شرکت Palo Alto Networks یافته‌های خود را با اعضای اتحادیه Cyber Threat Alliance (CTA) به اشتراک گذاشته است. اعضای CTA از این اطلاعات برای استقرار سریع محافظت‌ها نزد مشتریان خود و برای اخلالِ نظام‌مند در فعالیت عاملان سایبری مخرب استفاده می‌کنند. برای آشنایی بیشتر، به Cyber Threat Alliance مراجعه کنید.
این گزارش تهدید با در دسترس قرار گرفتن اطلاعات مرتبط به‌روزرسانی خواهد شد.
محصولات فهرست‌شده در ادامه می‌توانند به محافظت از مشتریان شرکت Palo Alto Networks در برابر اکسپلویت‌هایی که آسیب‌پذیری CVE-2026-0257 را هدف قرار می‌دهند کمک کنند.
شاخص‌های فعالیت
آدرس‌های IP
- 23.128.228[.]6
- 104.207.144[.]154
- 146.19.216[.]119
- 146.19.216[.]120
- 146.19.216[.]125
- 179.43.172[.]213
- 185.195.232[.]139
- 198.12.106[.]60
- 202.144.192[.]47
نام‌های میزبان و آدرس‌های MAC
- aa:bb:cc:dd:ee:ff
- 00:11:22:33:44:55
- WINDOWS-LAPTOP-001
- DESKTOP-GP01
- GP-CLIENT
