Alerta Máximo: A Falha CVE-2026-0257 no GlobalProtect da Palo Alto Está Sendo Explorada e o Prazo Final é Hoje

Este ataque não requer interação do usuário nem privilégios no sistema alvo. É explorável pela rede com baixa complexidade de ataque, o que explica sua classificação final como uma ameaça crítica .

Uma Escalada de Severidade Rápida: De Média a Crítica

Quando a Palo Alto Networks publicou seu primeiro comunicado em 13 de maio de 2026, classificou o CVE-2026-0257 como uma vulnerabilidade de gravidade média com uma pontuação CVSS de 7,8 . Muitos veículos de notícias de segurança continuam a divulgar essa classificação original.

No entanto, uma reanálise do National Vulnerability Database (NVD), seguida por outras agências governamentais, escalou dramaticamente a pontuação. A partir de 29 de maio de 2026, o NVD enriqueceu o registro e a pontuação oficial do governo foi elevada para uma classificação crítica CVSS v3.1 de 9,1 . A Agência de Segurança Cibernética de Singapura (CSA) e vários feeds de CVE agora também refletem a classificação crítica de 9,1 . Essa lacuna entre a classificação inicial do fornecedor e a classificação final do governo é um detalhe crucial que levou muitas organizações a despriorizar a correção durante as primeiras semanas de exploração.

A Linha do Tempo do Ataque: Duas Ondas a Partir de IPs da Vultr

O período entre a divulgação e a exploração ativa foi excepcionalmente curto. A equipe de Detecção e Resposta Gerenciadas (MDR) da Rapid7 observou as primeiras explorações bem-sucedidas a partir de 17 de maio, apenas quatro dias após a publicação do comunicado . Em 29 de maio, a CISA adicionou o CVE-2026-0257 ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) e definiu um prazo de correção obrigatório para agências federais dos EUA: 1º de junho de 2026 .

Duas ondas de ataque distintas foram confirmadas. A primeira originou-se de infraestrutura hospedada pela Vultr em 17 e 18 de maio, e uma segunda onda seguiu da infraestrutura da Dromatics Systems em 21 de maio . A análise de inteligência indica que endereços MAC consistentes foram usados em ambas as ondas, sugerindo que um único agente de ameaça é o responsável . Em todos os casos observados, os invasores forjaram cookies de substituição de autenticação para visar diretamente a conta de administrador local nos dispositivos comprometidos .

Crucialmente, embora a Rapid7 tenha confirmado que conexões VPN bem-sucedidas foram estabelecidas em 8 dos 10 clientes de MDR impactados, os investigadores ainda não observaram movimento lateral bem-sucedido a partir dos dispositivos comprometidos . Este detalhe oferece uma janela de oportunidade pequena, mas crítica, para que os defensores contenham a intrusão antes que os invasores avancem mais profundamente nas redes.

Prova de Conceito e Produtos Afetados

O risco é agravado pela disponibilidade pública do código de exploração. Múltiplos relatórios de inteligência confirmam que pelo menos uma, e provavelmente várias, provas de conceito existem em repositórios públicos, diminuindo a barreira para ataques adicionais .

Os produtos afetados estão claramente definidos. A vulnerabilidade impacta as versões 10.2, 11.1, 11.2 e 12.1 do PAN-OS em firewalls PA-Series e VM-Series, bem como o Prisma Access . Duas linhas de produtos importantes não são explicitamente afetadas: os appliances de gerenciamento Panorama e as implantações Cloud NGFW (Next-Generation Firewall) .

Medidas Imediatas de Mitigação e Correção

A Palo Alto Networks lançou patches para todos os ramos de firmware suportados. As versões de software atualizadas que contêm a correção são os mesmos patches que agora aplicam a rejeição dos cookies forjados .

A estratégia de mitigação mais abrangente envolve quatro ações imediatas.

Primeiro, atualize o PAN-OS para a versão corrigida mais recente para o seu ramo. As versões corrigidas para o PAN-OS 12.1 incluem as versões 12.1.4-h6 e 12.1.7; para o 11.2, as versões 11.2.4-h17, 11.2.7-h14, 11.2.10-h7 e 11.2.12; e versões correspondentes semelhantes existem para o 11.1 e 10.2 . Os tenants do Prisma Access devem ser atualizados de forma semelhante para as versões corrigidas.

Segundo, se os cookies de substituição de autenticação não forem absolutamente críticos para suas operações de negócios, desabilite esse recurso completamente. Isso remove a pré-condição vulnerável por completo, não apenas a exploração .

Terceiro, reconfigure a implantação do certificado. Nunca reutilize o mesmo certificado para a interface de gerenciamento HTTPS e para a criptografia de cookies do GlobalProtect. Usar um certificado dedicado para criptografia de cookies elimina o mecanismo pelo qual um cookie forjável válido pode ser construído .

Quarto, inicie uma auditoria ativa de logs imediatamente. Procure por eventos anômalos de criação de sessão, conexões de IPs desconhecidos — particularmente de infraestrutura de atacante conhecida, como o ASN da Vultr — e uso inesperado de cookies de substituição de autenticação . Com o movimento lateral ainda não confirmado, a auditoria de logs é atualmente sua melhor ferramenta para identificar se um comprometimento já ocorreu.

O prazo de 1º de junho da CISA é hoje. As organizações que ainda não aplicaram esses patches estão agora operando sob uma exposição confirmada, ativamente explorada e de severidade crítica. A janela para corrigir antes de uma investigação forense, em vez de uma ação preventiva, está se fechando.