Faille CVE-2026-0257 : Le contournement d'authentification VPN de Palo Alto est activement exploité, la CISA fixe l'échéance à aujourd'hui

Une simple erreur de configuration permet à des attaquants de pénétrer sans mot de passe dans des réseaux d'entreprise pourtant protégés. Une vulnérabilité dans le logiciel VPN GlobalProtect de Palo Alto Networks, référencée sous le code CVE-2026-0257, est passée en à peine deux semaines du statut d'alerte modérée à celui d'ordre de correction immédiate émis par l'agence de cybersécurité américaine, la CISA (Cybersecurity and Infrastructure Security Agency). La faille est activement exploitée et le code permettant d'en tirer parti est désormais public.

Voici ce que confirment les éléments disponibles sur cette vulnérabilité, sur le déroulement des attaques, et les mesures à prendre d'urgence.

Comment fonctionne le contournement d'authentification

CVE-2026-0257 est une vulnérabilité de contournement d'authentification dans les composants du portail et de la passerelle GlobalProtect des logiciels PAN-OS et Prisma Access . Le problème central vient de l'utilisation de cookies sans validation ni contrôle d'intégrité appropriés, une faiblesse classifiée sous le code CWE-565 .

La faille de sécurité se manifeste dans des conditions bien spécifiques. Elle n'est exploitable que lorsqu'un appareil a les cookies de dérogation d'authentification activés dans une configuration de portail ou de passerelle GlobalProtect ET qu'il utilise le même certificat à la fois pour l'interface de gestion HTTPS et pour le chiffrement des cookies . Lorsque ces conditions sont réunies, un attaquant distant, non authentifié, peut forger un cookie de session de dérogation d'authentification valide. En rejouant ce cookie falsifié, l'attaquant contourne tout le processus d'authentification pour établir un tunnel VPN non autorisé vers le réseau de l'organisation .

Cette attaque ne nécessite aucune interaction d'un utilisateur, ni aucun privilège préalable sur le système cible. Elle est exploitable sur le réseau avec une faible complexité, ce qui explique sa classification finale en menace critique .

Une escalade de sévérité fulgurante, de modérée à critique

Lorsque Palo Alto Networks a publié son premier avis de sécurité le 13 mai 2026, la faille CVE-2026-0257 était classée comme une vulnérabilité de sévérité moyenne avec un score CVSS de 7,8 . Malheureusement, beaucoup de médias spécialisés continuent de relayer cette classification initiale.

Cependant, une réanalyse par le NVD (National Vulnerability Database), suivie par d'autres agences gouvernementales, a radicalement revu le score à la hausse. Depuis le 29 mai 2026, le score officiel de référence est passé au statut de vulnérabilité critique avec une note CVSS v3.1 de 9,1 . L'Agence de cybersécurité de Singapour (CSA) et diverses bases de données de vulnérabilités reflètent désormais ce score de 9,1 . Cet écart entre l'évaluation initiale du fournisseur et la classification finale des autorités gouvernementales est un détail crucial : il a conduit de nombreuses organisations à ne pas prioriser l'application du correctif pendant les premières semaines d'exploitation active.

Chronologie de l'attaque : deux vagues depuis des IP de Vultr

Le délai entre la divulgation et l'exploitation active a été exceptionnellement court. L'équipe de détection et de réponse gérées (MDR) de Rapid7 a observé les premières exploitations réussies à partir du 17 mai, soit seulement quatre jours après la publication de l'alerte . Le 29 mai, la CISA a ajouté la CVE-2026-0257 à son catalogue des vulnérabilités connues et exploitées (KEV) et a fixé une échéance de correction obligatoire pour les agences fédérales américaines : le 1er juin 2026 .

Deux vagues d'attaque distinctes ont été confirmées. La première provenait d'infrastructures hébergées chez Vultr les 17 et 18 mai, et une seconde vague a suivi depuis des infrastructures de Dromatics Systems le 21 mai . Les analyses de renseignement indiquent que des adresses MAC cohérentes ont été utilisées lors des deux vagues, ce qui suggère qu'un seul et même acteur malveillant en est responsable . Dans tous les cas observés, les attaquants ont forgé des cookies de dérogation d'authentification pour cibler directement le compte administrateur local des appareils compromis .

Point crucial : bien que Rapid7 ait confirmé que des connexions VPN ont été établies avec succès pour 8 des 10 clients MDR touchés, les enquêteurs n'ont, à ce stade, pas observé de mouvements latéraux réussis à partir des appareils compromis . Ce détail offre aux défenseurs une fenêtre d'opportunité, certes étroite mais réelle, pour contenir l'intrusion avant que les attaquants ne s'enfoncent plus profondément dans les réseaux.

Code d'exploitation public et produits concernés

Le risque est aggravé par la disponibilité publique de codes d'exploitation. Plusieurs rapports de renseignement confirment qu'au moins un, et probablement plusieurs, codes de type « preuve de concept » (PoC) existent sur des dépôts publics, ce qui abaisse la barrière pour de nouvelles attaques .

Les produits concernés sont clairement définis. La vulnérabilité touche les versions de PAN-OS 10.2, 11.1, 11.2, et 12.1 sur les pare-feux des séries PA et VM, ainsi que Prisma Access . Deux gammes de produits clés ne sont pas affectées : les appliances de gestion Panorama et les déploiements Cloud NGFW (pare-feu de nouvelle génération) .

Mesures d'atténuation et de correction immédiates

Palo Alto Networks a publié des correctifs pour toutes les branches logicielles supportées. Les versions mises à jour, qui contiennent le correctif, appliquent également le rejet des cookies falsifiés .

La stratégie de mitigation la plus complète comprend quatre actions immédiates.

Premièrement, mettez à jour PAN-OS vers la dernière version corrigée pour votre branche. Les versions corrigées pour PAN-OS 12.1 incluent les versions 12.1.4-h6 et 12.1.7 ; pour la 11.2, les versions 11.2.4-h17, 11.2.7-h14, 11.2.10-h7, et 11.2.12 ; des versions correspondantes existent pour les branches 11.1 et 10.2 . Les clients de Prisma Access doivent également mettre à jour vers les versions corrigées.

Deuxièmement, si les cookies de dérogation d'authentification ne sont pas absolument critiques pour vos opérations, désactivez totalement cette fonctionnalité. Cela supprime la condition préalable vulnérable à la racine, et pas seulement l'exploit .

Troisièmement, reconfigurez le déploiement des certificats. Ne réutilisez jamais le même certificat pour l'interface de gestion HTTPS et pour le chiffrement des cookies GlobalProtect. Utiliser un certificat dédié pour le chiffrement des cookies neutralise le mécanisme par lequel un cookie valide et falsifiable peut être construit .

Quatrièmement, lancez immédiatement un audit actif des journaux d'événements. Recherchez les événements de création de session anormaux, les connexions depuis des adresses IP inconnues — en particulier celles provenant d'infrastructures d'attaquants connues comme le système autonome de Vultr — et toute utilisation inattendue des cookies de dérogation d'authentification . Étant donné qu'aucun mouvement latéral n'a encore été confirmé, l'audit de vos journaux est actuellement votre meilleur outil pour détecter si une compromission a déjà eu lieu.

L'échéance du 1er juin fixée par la CISA est pour aujourd'hui. Les organisations qui n'ont pas encore appliqué ces correctifs opèrent désormais sous une menace critique, confirmée et activement exploitée. La fenêtre pour corriger avant qu'il ne s'agisse d'enquête judiciaire, plutôt que d'action préventive, est en train de se refermer.