Organisaties die Palo Alto Networks-systemen gebruiken, krijgen opnieuw een directe reden om te controleren of CVE-2026-0257 MFA-bypass volledig is verholpen. Unit 42 en Palo Alto Networks melden dat ransomwaregroepen het inmiddels gepatchte lek blijven misbruiken om ongeautoriseerde VPN-sessies op te zetten en vervolgens multi-factor authenticatie (MFA) te omzeilen.
Het gaat om een kwetsbaarheid in PAN-OS en Prisma Access met een CVSS-score van 7,8. Palo Alto Networks bracht de fix uit in mei 2026 en de kwetsbaarheid staat sinds 13 mei 2026 op de Known Exploited Vulnerabilities (KEV)-lijst van de Amerikaanse CISA. Dat is een belangrijke aanwijzing dat het risico in de praktijk actueel is, niet theoretisch.
Wat is CVE-2026-0257 en waarom is het zo gevaarlijk?
CVE-2026-0257 wordt beschreven als een authentication bypass-fout. In gewone taal: aanvallers kunnen de authenticatielaag omzeilen en daardoor VPN-toegang claimen die niet zou moeten werken zonder geldige gebruikersverificatie.
Volgens Unit 42 worden het lek en de bijbehorende aanvalstechniek ingezet om een eerste toegangspunt tot het bedrijfsnetwerk te creëren. Vervolgens komt het echte schadepad: het doorbreken van de beveiligingscontroles rondom toegang en het voorbereiden van verdere compromise.
Welke ransomwaregroepen misbruiken het?
De activiteit die Palo Alto Networks observeert, wordt gekoppeld aan ransomwaregroepen waaronder:
- Spikey Scorpius (ook bekend als Qilin)
- Tarnished Scorpius (ook bekend als INC)
Daarnaast werd in eerdere meldingen door ReliaQuest aangegeven dat beide groepen actief misbruik zouden maken van de kwetsbaarheid in financieel gemotiveerde aanvallen. Het beeld dat hieruit ontstaat: niet één proefaanval, maar doorlopende uitbuiting.
Hoe ziet de aanval er in de praktijk uit?
Unit 42 beschrijft een patroon dat begint bij de toegang tot het netwerk via een VPN-sessie. Zodra die sessie is opgezet, verschuift de aanval naar post-compromise activiteiten. Dit maakt het extra ingrijpend: zelfs een organisatie met “standaard” veiligheidsmaatregelen kan alsnog in de problemen komen zodra aanvallers een geloofwaardige VPN-route hebben.
Na de MFA-bypass via CVE-2026-0257 worden onder meer de volgende stappen gezien:
- Interne verkenning met remote monitoring & management (RMM)-tools die ook voor legitiem beheer worden gebruikt.
- Zijdelingse beweging binnen het netwerk via RDP en SMB.
- Voorbereiden van extra tooling voor het verzamelen van inloggegevens, het exfiltreren van data en het uiteindelijk inzetten van ransomware.
Ook opvallend is dat Unit 42 meldt dat de aanvallers doelgericht doorstappen richting de virtualisatielaag—een “evolution” in hun tactiek na succesvolle exploitatie.
Pivot naar virtualisatie: van VPN naar vCenter en ESXi
In een beschreven geval verplaatsen aanvallers zich van het gecompromitteerde VPN-gateway-punt naar een vCenter management appliance. Vervolgens zouden ze beveiligingsinstellingen op ESXi hypervisors aanpassen (zoals execInstalledOnly) en een eigen hulpmiddel inzetten om offline credential dumping uit te voeren tegen een domain controller via een virtuele schijf (VMDK).
Deze aanpak is extra schadelijk omdat het, volgens de onderzoekers, EDR- en hostbescherming in de guest kan omzeilen. Het gevolg: aanvallers kunnen domeinbrede referenties vergaren, waardoor laterale verspreiding en escalatie aanzienlijk eenvoudiger worden.
Extra impact: mogelijk misbruik van Veeam-kwetsbaarheden
Naast het primaire toegangspad wordt gemeld dat aanvallers de initiële toegang combineren met andere exploit-tools. Daarbij wordt ook gekeken naar het aanvallen van Veeam backup-infrastructuur via een bekende kwetsbaarheid (CVE-2023-27532), met als doel de totale impact te vergroten.
Dat is een belangrijk signaal voor herstelbaarheid: als backupketens ook worden geraakt, wordt de kans groter dat herstelprocessen langer duren of niet volledig werken.
Wie is doelwit?
De aanvallen die aan deze campagnes worden gekoppeld, zouden zich richten op een breed scala aan sectoren. Unit 42 noemt onder meer:
- onderwijs
- financiële dienstverlening
- gezondheidszorg
- high tech
- horeca
- industrie en productie
- professionele en juridische dienstverlening
- overheid
- transport en logistiek
- nutsbedrijven en energie
- retail
Voor veel organisaties betekent dit vooral één ding: “wij zijn niet interessant” is geen veilige aanname. Zodra een toegangspoort is opengezet, kunnen aanvallers binnen dezelfde regionale of sectorale drukte opportunistisch doorschakelen.
Wat kun je nu doen? Praktische stappen voor defenders
Palo Alto Networks adviseert organisaties om niet alleen op patch-niveau te handelen, maar ook proactief te zoeken naar sporen van misbruik en incidentrespons te starten wanneer gateway-gerelateerde gebeurtenissen succesvol lijken.
Concreet zijn dit de belangrijkste acties om te prioriteren rond CVE-2026-0257 MFA-bypass:
- Controleer patch-status voor PAN-OS en Prisma Access en bevestig dat de mei 2026-fix is geïmplementeerd.
- Voer threat hunting uit op basis van gateway- en VPN-activiteit, met extra aandacht voor tekenen van authenticatiebypass en ongeautoriseerde sessies.
- Herzie toegangs- en logging-bereik: zorg dat je de relevante gebeurtenissen kunt herleiden van VPN-gateway tot interne verbindingen.
- Let op post-compromise gedrag zoals RDP/SMB-laterale beweging, het gebruik van RMM-achtige tooling en sporen van credential harvesting.
- Onderzoek de virtualisatielaag als je tekenen ziet van pivot: vCenter, ESXi-configuraties en eventuele offline dump-achtige patronen.
- Check ook backup-infrastructuur als onderdeel van de bredere incidentimpact, zeker wanneer er aanwijzingen zijn voor aanvullende exploits.
Als je in eerdere security-incidenten al hebt gewerkt met het inrichten van monitoring, helpt het om diezelfde processen nu sneller “op te schalen” voor deze specifieke scenario’s.
Gerelateerde aandachtspunten: MFA, tokens en governance
Een MFA-bypass is vaak geen geïsoleerd probleem, maar een symptoom van een keten waarin meerdere controles samen moeten werken. Daarom is het verstandig om ook breder te kijken naar governance rondom accounts, privileges en toegangslogica.
Ter inspiratie over hoe misbruik van toegangspaden in de praktijk kan lopen, kan je dit artikel meenemen: Focus op rogue AI-agenten: Microsoft Dynamic Permissions. Hoewel het onderwerp anders is, raakt het wel aan hetzelfde kernprincipe: zodra bevoegdheden dynamisch worden toegekend of omzeild kunnen worden, stijgt het risico dat aanvallers sneller doorpakken.
Daarnaast, als je in je omgeving eerdere RMM-, remote-toegang- of backupgerelateerde incidenten hebt gezien, helpt het om die aanpak te koppelen aan je huidige hunt- en responseplannen. Zo voorkom je dat je alleen de eerste stap adresseert.
Conclusie: patch én jacht op sporen, anders volgt de volgende stap
CVE-2026-0257 MFA-bypass laat zien hoe snel ransomwaregroepen van “toegang krijgen” naar “blijvend binnenkomen” kunnen schakelen. De kwetsbaarheid is inmiddels gepatcht, maar de meldingen van doorlopende exploitatie maken duidelijk dat veel schade kan ontstaan voordat een organisatie de juiste signalen ziet.
Heb je PAN-OS of Prisma Access in gebruik? Zorg dan dat de fix aantoonbaar is toegepast en zet parallel een gerichte hunt op. Besteed daarbij extra aandacht aan de latere fases: zijdelingse beweging, credential harvesting, en vooral de pivot naar virtualisatie en mogelijke verstoring van back-ups. Alleen dan verklein je de kans dat een MFA-bypass verandert in een volledige ransomware-impact.
Bron: https://thehackernews.com/2026/10/qilin-and-inc-ransomware-groups-exploit.html
1 reactie