Palo-Alto-VPN-Schwachstelle treibt Qilin-Ransomware-Angriffe an

Qilin-Ransomware-Akteure nutzen eine kritische Schwachstelle in Palo Alto VPN aus, um sich Zugang zu Unternehmensnetzwerken zu verschaffen und Ransomware zu verteilen. Das berichtet Arctic Wolf Labs.

Die Schwachstelle CVE-2026-0257 betrifft PAN-OS GlobalProtect Portal und Gateway. Angreifer können Authentifizierungsmechanismen umgehen und eine unbefugte VPN-Verbindung zu anfälligen Geräten aufbauen.

Arctic Wolf untersuchte mehrere Angriffe aus dem Juni 2026, die mit der Ausnutzung von CVE-2026-0257 begannen und damit endeten, dass Qilin-Ransomware Systeme in der gesamten Domäne des Opfers verschlüsselte.

Angreifer nutzen die Palo-Alto-VPN-Schwachstelle für den Erstzugriff

Palo Alto Networks veröffentlichte am 13. Mai Sicherheitsupdates für CVE-2026-0257. Gleichzeitig warnte das Unternehmen, dass Angreifer bereits ungepatchte PAN-OS-Systeme aktiv ausnutzten.

Rapid7 hatte bereits ab dem 17. Mai Angriffe auf zahlreiche Kunden beobachtet.

Die Schwachstelle ermöglicht es Angreifern, die Sicherheitsmechanismen von GlobalProtect Portal und Gateway zu umgehen. Anschließend können sie sich ohne gültige Zugangsdaten mit dem VPN verbinden.

Die US-amerikanische Cybersicherheitsbehörde CISA nahm CVE-2026-0257 am 29. Mai in ihren Katalog der bekannten aktiv ausgenutzten Schwachstellen auf. Bundesbehörden erhielten drei Tage Zeit, um betroffene GlobalProtect-VPN-Instanzen abzusichern.

Qilin-Akteure setzen nach dem Einbruch Ransomware ein

Arctic Wolf identifizierte nach der ersten Kompromittierung der VPN-Verbindung mehrere unterschiedliche Angriffsmuster.

Einige Angreifer handelten schnell und konzentrierten sich unmittelbar auf die Verschlüsselung. Andere führten umfassendere Double-Extortion-Angriffe durch, bei denen sie Daten stahlen und anschließend mit deren Veröffentlichung drohten, falls kein Lösegeld gezahlt wurde.

Diese Unterschiede deuten darauf hin, dass mehrere Affiliates im Rahmen des Ransomware-as-a-Service-Modells von Qilin CVE-2026-0257 einsetzen.

Arctic Wolf geht mit mittlerer Zuversicht davon aus, dass Angriffe über die Palo-Alto-VPN-Schwachstelle weiterhin stattfinden. Das Unternehmen stützt diese Einschätzung auf umfangreiche Scan-Aktivitäten sowie auf die Tatsache, dass Ransomware-as-a-Service-Gruppen bewährte Exploits häufig unter ihren Affiliates weitergeben.

Tausende GlobalProtect-Instanzen sind weiterhin exponiert

Shadowserver verfolgt mehr als 167.000 GlobalProtect-VPN-Instanzen, die über das Internet erreichbar sind. Shodan hat mehr als 172.000 IP-Adressen mit einem GlobalProtect-Fingerabdruck identifiziert.

Diese Zahlen zeigen jedoch nicht, wie viele Organisationen die Sicherheitsupdates bereits installiert haben. Außerdem umfassen sie potenzielle Honeypots und andere Systeme, die nicht produktiv eingesetzt werden.

Dennoch sollten Organisationen exponierte und ungepatchte GlobalProtect-Geräte mit höchster Priorität absichern, da Angreifer die Schwachstelle bereits für Ransomware-Angriffe ausnutzen.

Qilin greift weiterhin große Organisationen an

Qilin trat im August 2022 zunächst unter dem Namen Agenda auf. Seitdem hat die Gruppe auf ihrer Darknet-Leak-Seite mehr als 2.000 Opfer für sich beansprucht.

Zu den mutmaßlichen Opfern gehören Nissan, Yangfeng, Asahi, Synnovis, Lee Enterprises und Australiens Court Services Victoria.

Palo Alto Networks betreut weltweit mehr als 70.000 Kunden, darunter zahlreiche große US-Banken sowie 90 Prozent der Fortune-10-Unternehmen.