GlobalProtect-brist används för ransomware och angrepp mot virtuella servrar
Ransomwareoperatörer bakom Qilin och Inc utnyttjar en tidigare känd sårbarhet i Palo Alto Networks GlobalProtect. Det uppger företagets säkerhetsenhet Unit 42 i en hotrapport som uppdaterades natten till den 20 oktober svensk tid. Bristen, CVE-2026-0257, finns i portal- och gatewayfunktionerna i sårbara versioner av PAN-OS. Den gör det möjligt att kringgå autentisering och etablera VPN-sessioner förbi multifaktorautentisering, MFA. Sårbarheten har funnits i den amerikanska myndigheten CISA:s katalog över kända utnyttjade sårbarheter sedan maj. De nya uppgifterna visar hur ransomwareoperatörer använder den för att ta sig vidare in i organisationers nätverk.
Efter intrånget kartlägger angriparna interna nätverk, förflyttar sig mellan system via bland annat RDP och SMB och förbereder verktyg för att stjäla autentiseringsuppgifter och data samt installera ransomware. En viktig förändring är enligt Unit 42 att angreppen går direkt vidare till virtualiseringslagret. I ett undersökt fall tog sig angriparna från den komprometterade VPN-gatewayen till administrationsplattformen vCenter. Därifrån stängde de av en säkerhetskontroll på ESXi-värdar och använde ett specialbyggt verktyg för att hämta autentiseringsuppgifter direkt från en domänkontrollants virtuella disk. Genom att arbeta mot disken kunde de kringgå de säkerhetskontroller som kördes inne i den virtuella maskinen.
Unit 42:s utredningar har pågått sedan början av juni och omfattat bland annat vård, utbildning, finans, tillverkning och offentlig verksamhet. Uppgifterna är relevanta även för svenska organisationer med sårbara GlobalProtect-installationer, särskilt där VPN-åtkomsten ger vägar vidare till vCenter och ESXi. Unit 42 rekommenderar att organisationer söker efter rapportens angreppsindikatorer i sina loggar och inleder incidenthantering vid lyckade gatewayanslutningar som kan kopplas till indikatorerna. Rekommendationen är också att följa leverantörens tillfälliga skyddsåtgärder eller uppgradera till en version där bristen är rättad.
Utnyttjad nolldag i BeyondTrust Remote Support offentliggjord
BeyondTrust offentliggjorde den 15 oktober en kritisk sårbarhet i fjärrsupportprodukten Remote Support, tidigare Bomgar. Bristen, CVE-2026-102764, har fått allvarlighetsgraden 9,3 enligt CVSS v4 och gör det möjligt att utföra filoperationer på enheten utan autentisering. Även version 26.2.3 omfattas om säkerhetspatchen BT26-05-RS inte har installerats, enligt leverantören. Att en installation kör den versionen är därmed inte i sig tillräckligt för att bristen ska vara åtgärdad. För kunder med Remote Support som SaaS-tjänst har en säkerhetsuppdatering implementerats, uppger CERT-SE i sin varning.
Angreppen som ledde till upptäckten skedde i slutet av augusti, innan sårbarheten var offentlig. Mandiant kopplar exploateringen till ARMORY CASTLE, som företaget beskriver som en misstänkt spionageaktör med koppling till Kina. Enligt incidentutredningen använde angriparen bland annat ett webbskal för att behålla åtkomsten och skaffade sig därefter root-behörighet, alltså högsta behörighet på enheten. Det gav tillgång till de autentiseringsuppgifter som enheten lagrade eller förmedlade och möjlighet att ändra filer som överlever omstart och återställning av konfigurationen. Angriparen raderade också loggar och andra spår för att undgå upptäckt. BeyondTrust uppger att två kunder är kända som drabbade och att bolaget inte har observerat angriparaktivitet efter augusti.
För organisationer som använder Remote Support för fjärradministration gäller frågan både att täppa till bristen och att undersöka om systemet redan har utnyttjats. CERT-SE rekommenderar skyndsam uppdatering enligt leverantörens instruktioner och att internetexponerade instanser behandlas som komprometterade tills de har undersökts. Myndigheten uppmanar också drabbade organisationer att rapportera intrång till leverantören och CERT-SE samt, om möjligt, dela loggfiler och andra spår. I en uppdatering den 19 oktober meddelade CERT-SE att sårbarheten lagts till i CISA:s katalog över kända utnyttjade sårbarheter. Veckans offentliggörande innebär därmed att organisationer nu har både säkerhetsuppdatering och anvisningar för att undersöka intrång som kan ha skett före publiceringen.
