Qilin bağlantılı saldırganlar Palo Alto GlobalProtect açığıyla ağlara sızıyor

Güvenlik şirketi Arctic Wolf, 20 Temmuz 2026'da yayımladığı araştırmada, Palo Alto Networks PAN-OS'taki CVE-2026-0257 açığının istismar edilmesiyle başlayan ve Qilin fidye yazılımının alan genelinde çalıştırılmasıyla sonuçlanan birden fazla saldırıyı incelediğini duyurdu. Şirket, bu tür saldırıların sürdüğünü orta düzeyde güvenle değerlendiriyor.

Açık ne?

CVE-2026-0257, GlobalProtect portal ve ağ geçidinde bulunan bir kimlik doğrulama atlatma açığı. Belirli sertifika yapılandırmalarıyla birlikte "authentication override" çerezlerinin etkin olduğu cihazlarda, kimliği doğrulanmamış bir saldırganın geçerli parola olmadan VPN oturumu açabilmesine yol açıyor. Palo Alto Networks açığı CVSS 7.8 (Yüksek) olarak puanladı ve 13 Mayıs'ta düzeltme yayımladı. Etkilenen sürüm aileleri PAN-OS 12.1, 11.2, 11.1 ve 10.2 ile Prisma Access'in belirli sürümleri; Cloud NGFW ve Panorama etkilenmiyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Saldırı zinciri

Arctic Wolf'un haziran ayında incelediği vakalarda saldırganlar:

• Açığı kullanarak kimliği doğrulanmış VPN oturumu elde etti,
• Uzak erişim araçlarıyla kalıcılık sağladı,
• Etki alanı kimlik bilgilerini ve Active Directory veritabanını ele geçirdi,
• Bazı vakalarda Veeam yedekleme altyapısını hedef aldı,
• Verileri bulut depolama hizmetlerine aktardıktan sonra fidye yazılımı çalıştırdı.

Bazı saldırılarda veri sızdırılmadan yalnızca şifreleme yapılırken, bazılarında çifte şantaj yöntemi kullanıldı.

Ne yapılmalı?

• PAN-OS cihazları üreticinin bildirdiği sabit sürümlere derhal yükseltilmeli; yama sonrası tüm aktif GlobalProtect oturumları sonlandırılmalı.
• Yama hemen yapılamıyorsa authentication override devre dışı bırakılmalı ya da bu çerezler için ayrı sertifika kullanılmalı.
• VPN günlükleri; barındırma/VPS IP aralıklarından gelen, olağan dışı cihaz adlı veya beklenmeyen konumlardan açılan oturumlar için incelenmeli.
• İstismar şüphesi varsa etki alanı yöneticisi, servis hesapları ve KRBTGT (iki kez) dahil kimlik bilgileri yenilenmeli.
• Yetkisiz uzak erişim araçları ve bulut depolama aktarımları için alarm kuralları oluşturulmalı; olay günlükleri gerçek zamanlı SIEM'e aktarılmalı.