Η Palo Alto Networks προειδοποιεί για την ενεργή εκμετάλλευση της σοβαρής ευπάθειας CVE-2026-0257, που επηρεάζει τα GlobalProtect VPN συστήματα της εταιρείας. Άγνωστοι επιτιθέμενοι εκμεταλλεύονται αυτή την ευπάθεια για να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε εταιρικά δίκτυα μέσω των GlobalProtect portals. Το περιστατικό αποτελεί μία από τις σοβαρότερες απειλές που αντιμετωπίζουν οι εταιρείες που βασίζονται σε VPN λύσεις για την ασφάλεια των απομακρυσμένων εργαζομένων τους.
Η ευπάθεια CVE-2026-0257 έχει βαθμολογία CVSS 7.8 και σχετίζεται με παράκαμψη ταυτοποίησης που επηρεάζει τα στοιχεία portal και gateway του λογισμικού PAN-OS. Σύμφωνα με την εταιρεία, το σφάλμα επιτρέπει σε κακόβουλους δράστες να παρακάμπτουν τα μέτρα ασφαλείας και να εγκαθιστούν μη εξουσιοδοτημένες VPN συνδέσεις. Η σοβαρότητα του προβλήματος ενισχύεται από το γεγονός ότι οι επιτιθέμενοι δεν χρειάζονται έγκυρα διαπιστευτήρια για να αποκτήσουν πρόσβαση στο εσωτερικό δίκτυο των οργανισμών.
Οι πρώτες ενδείξεις ενεργής εκμετάλλευσης παρατηρήθηκαν στις 17 Μαΐου 2026, με περιορισμένες επιθέσεις να στοχεύουν συγκεκριμένα συστήματα. Η Palo Alto Networks αναφέρει ότι “δεν έχει εντοπιστεί, μέχρι στιγμής, κακόβουλη συμπεριφορά μετά την πρόσβαση ή πλευρική κίνηση“, ενώ μόνο ένα μικρό μέρος των στοχευμένων συσκευών κατάφερε να εγκαθιδρύσει πραγματικές VPN συνεδρίες. Παρά την περιορισμένη επιτυχία των επιθέσεων, οι ειδικοί ασφαλείας προειδοποιούν ότι η κατάσταση μπορεί να εξελιχθεί ραγδαία καθώς περισσότεροι επιτιθέμενοι αποκτούν γνώση της τεχνικής εκμετάλλευσης.
Τεχνικές λεπτομέρειες της ευπάθειας GlobalProtect
Η ευπάθεια CVE-2026-0257 εκμεταλλεύεται μια κρίσιμη αδυναμία στον τρόπο που το σύστημα PAN-OS χειρίζεται τα authentication override cookies. Το πρόβλημα προκύπτει όταν το ίδιο πιστοποιητικό χρησιμοποιείται τόσο για τις υπηρεσίες HTTPS όσο και για την κρυπτογράφηση των cookies ταυτοποίησης. Αυτή η πρακτική, που συχνά υιοθετείται για λόγους ευκολίας διαχείρισης, δημιουργεί μια σοβαρή τρύπα ασφαλείας που μπορεί να εκμεταλλευτεί οποιοσδήποτε έχει πρόσβαση στο δημόσιο κλειδί.
Δείτε επίσης: Palo Alto Networks: Απόπειρες brute-force εναντίον PAN-OS GlobalProtect gateways
Οι επιτιθέμενοι μπορούν να ανακτήσουν το δημόσιο κλειδί μέσω μιας κανονικής HTTPS συνεδρίας και στη συνέχεια να το χρησιμοποιήσουν για να πλαστογραφήσουν έγκυρα authentication override cookies για οποιονδήποτε χρήστη, συμπεριλαμβανομένου του τοπικού διαχειριστή. Το σύστημα αποκρυπτογραφεί και αποδέχεται αυτά τα πλαστογραφημένα cookies χωρίς να εκτελεί επαλήθευση υπογραφής. Η διαδικασία αυτή επιτρέπει στους κακόβουλους δράστες να παρουσιάζονται ως νόμιμοι χρήστες με πλήρη δικαιώματα πρόσβασης.
Κυβερνητική απόκριση και κρισιμότητα
Η U.S. Cybersecurity and Infrastructure Security Agency (CISA) πρόσθεσε την ευπάθεια CVE-2026-0257 στον κατάλογο Known Exploited Vulnerabilities (KEV) στις 29 Μαΐου 2026, διατάσσοντας τις ομοσπονδιακές υπηρεσίες να αντιμετωπίσουν το σφάλμα έως την 1η Ιουνίου 2026. Η απόφαση της CISA να συμπεριλάβει την ευπάθεια στον κατάλογο KEV σηματοδοτεί την άμεση και ευρεία απειλή που αντιπροσωπεύει για τις κρίσιμες υποδομές των Ηνωμένων Πολιτειών.
Δείτε επίσης: Νέες επιθέσεις στοχεύουν GlobalProtect portals της Palo Alto Networks
Επιπτώσεις για την ελληνική αγορά και τις ευρωπαϊκές επιχειρήσεις
Η ευπάθεια CVE-2026-0257 έχει ιδιαίτερη σημασία για τις ελληνικές και ευρωπαϊκές επιχειρήσεις που έχουν υιοθετήσει ευρέως τις λύσεις GlobalProtect της Palo Alto Networks για την υποστήριξη της απομακρυσμένης εργασίας. Με την αυξημένη εξάρτηση από VPN τεχνολογίες μετά την πανδημία, χιλιάδες οργανισμοί στην Ευρώπη μπορεί να είναι εκτεθειμένοι σε αυτή την απειλή.
Δείτε επίσης: NATO: Συνεργασίες κυβερνοασφάλειας με Microsoft, Palo Alto Networks και ESET
Οι ελληνικές επιχειρήσεις που χρησιμοποιούν PAN-OS εκδόσεις 11.2.0 έως 11.2.11 και 12.1.4 έως 12.1.4-h5 πρέπει να δράσουν άμεσα. Η καθυστέρηση στην εφαρμογή των διορθώσεων μπορεί να οδηγήσει σε σοβαρές παραβιάσεις δεδομένων, ιδιαίτερα σε κλάδους όπως οι τράπεζες, οι τηλεπικοινωνίες και οι κρατικές υπηρεσίες που αποτελούν προτιμώμενους στόχους των επιτιθέμενων.
Άμεσα μέτρα προστασίας και συστάσεις
Οι οργανισμοί που χρησιμοποιούν GlobalProtect VPN συσκευές πρέπει να δράσουν άμεσα. Η Palo Alto Networks συνιστά την άμεση αναβάθμιση του PAN-OS στις εκδόσεις 11.2.12 ή 12.1.4-h6 (ή νεότερες) που περιλαμβάνουν τη διόρθωση για την ευπάθεια. Η εφαρμογή των patches πρέπει να γίνει εκτός ωρών αιχμής για να αποφευχθούν διακοπές στις επιχειρησιακές λειτουργίες.
Σε περίπτωση που η άμεση εφαρμογή patch δεν είναι εφικτή, οι οργανισμοί μπορούν να απενεργοποιήσουν εντελώς τη λειτουργία “Authentication Override” στη διαμόρφωση του GlobalProtect portal και gateway. Εναλλακτικά, μπορούν να δημιουργήσουν ένα νέο πιστοποιητικό αποκλειστικά για τα authentication override cookies, χωρίς να το μοιράζονται με άλλες υπηρεσίες.
Η εταιρεία έχει επίσης δημοσιεύσει δείκτες παραβίασης (IoCs) που σχετίζονται με τη δραστηριότητα:
IP addresses –
- 23.128.228[.]6
- 104.207.144[.]154
- 146.19.216[.]119
- 146.19.216[.]120
- 146.19.216[.]125
- 179.43.172[.]213
- 185.195.232[.]139
- 198.12.106[.]60
- 202.144.192[.]47
Host Names and MAC Addresses –
- aa:bb:cc:dd:ee:ff
- 00:11:22:33:44:55
- WINDOWS-LAPTOP-001
- DESKTOP-GP01
- GP-CLIENT
Η Palo Alto Networks προτρέπει επίσης τους πελάτες να αναζητούν GlobalProtect logs events για gateway-connected events που αντιστοιχούν στα hard-coded client configuration values από ένα:
- endpoint_os_version : Microsoft Windows 10 Pro 64-bit
- source_user_info.domain : empty
Σύμφωνα με The Hacker News, η ευπάθεια αποτελεί σοβαρή απειλή για την ασφάλεια των εταιρικών δικτύων και απαιτεί άμεση δράση από τους διαχειριστές συστημάτων. Η ταχεία αντίδραση και η εφαρμογή των κατάλληλων μέτρων προστασίας είναι κρίσιμες για την αποφυγή πιθανών παραβιάσεων που θα μπορούσαν να έχουν καταστροφικές συνέπειες για τους επηρεαζόμενους οργανισμούς.
