Operadores de ransomware estão explorando ativamente a CVE-2026-0257, uma falha de bypass de autenticação que afeta o GlobalProtect do PAN-OS e o Prisma Access da Palo Alto Networks. A vulnerabilidade permite a um atacante autenticar-se em redes internas sem credenciais válidas, obtendo acesso a recursos sensíveis que deveriam estar protegidos pelo gateway VPN.
A falha foi identificada pela ReliaQuest, empresa de segurança cibernética que documentou o ataque em produção. Segundo a análise, os atacantes exploram a falha para contornar o mecanismo de autenticação do GlobalProtect, estabelecendo sessões VPN legítimas a partir de IPs externos. Uma vez dentro da rede, o acesso é indistinguível de um usuário autorizado, o que dificulta a detecção por sistemas de monitoramento tradicionais.
O GlobalProtect é amplamente utilizado em corporações, governos e provedores de serviços para proteger o acesso remoto a redes internas. O Prisma Access, por sua vez, é a oferta SaaS da Palo Alto para acesso seguro a aplicações na nuvem. A combinação dos dois produtos torna a CVE-2026-0257 um vetor de alto impacto: um único ponto de falha compromete tanto o acesso on-premise quanto o baseado em nuvem.
A ReliaQuest recomenda que as organizações verifiquem imediatamente se os patches aplicam à sua versão do PAN-OS ou Prisma Access, e apliquem a correção disponível. Para quem ainda não pode aplicar o patch, a empresa sugere restringir o acesso ao GlobalProtect por IP de origem, ativar a verificação em dois fatores para todas as sessões VPN e habilitar a detecção de sessões anômalas nos logs de autenticação.
O ataque em produção é particularmente preocupante porque os operadores de ransomware tipicamente não exploram vulnerabilidades por tempo indeterminado. O uso ativo da CVE-2026-0257 indica que os grupos já possuem exploits funcionais e estão executando campanhas direcionadas. A janela de exposição — entre a publicação da falha e a aplicação do patch em todos os ambientes — é o momento de maior risco.
Para o mercado brasileiro, a relevância é direta. Muitas empresas brasileiras utilizam GlobalProtect como padrão de acesso remoto, especialmente em setores regulados como financeiro, saúde e governo. A combinação de um produto amplamente adotado com uma falha de bypass de autenticação cria um cenário em que o comprometimento de uma única organização pode servir de ponto de entrada para ataques mais amplos contra a cadeia de fornecedores.
A Palo Alto Networks publicou um alerta de segurança e um patch para as versões afetadas. A empresa recomenda que todos os clientes do GlobalProtect e Prisma Access verifiquem sua exposição e apliquem a correção com prioridade alta. A ReliaQuest, por sua vez, oferece um guia de detecção com as assinaturas de log que identificam tentativas de exploração da CVE-2026-0257.
O incidente reforça um ponto que a indústria de segurança vem repetindo: a superfície de ataque de uma organização não é apenas o perímetro, mas também os gateways de acesso remoto. A VPN corporativa, por décadas considerada uma fronteira confiável, se tornou um dos alvos preferidos de grupos de ransomware que buscam acesso inicial a redes internas. A CVE-2026-0257 é o lembrete mais recente de que a confiança em um único provedor de acesso é, por si só, um risco.
Fontes e referências
Encontrou uma informação que precisa de correção? Fale com a redação.