Pare-feu Palo Alto : le VPN GlobalProtect utilisé par des groupes de rançongiciels
En bref
Des groupes de rançongiciels utilisent la faille CVE-2026-0257 du VPN GlobalProtect pour ouvrir une session VPN sans authentification, d’après Unit 42, l’équipe de recherche de Palo Alto, le 20 octobre 2026. Le correctif existe depuis mai. Le 14 octobre, Palo Alto a aussi publié CVE-2026-0322, une faille de l’interface d’administration déjà attaquée.
Le VPN, c’est la porte que l’on ouvre exprès pour que les équipes travaillent de chez elles ou depuis un autre site. C’est aussi une porte que des attaquants cherchent à franchir. Chez Palo Alto Networks, deux failles de PAN-OS, le logiciel de ses pare-feu, sont en ce moment utilisées : l’une dans le VPN GlobalProtect, l’autre dans l’interface d’administration.
Que s’est-il passé ?
La faille du VPN, CVE-2026-0257. Palo Alto l’a publiée le 13 mai 2026 dans son avis CVE-2026-0257 : elle permet de contourner l’authentification du portail et de la passerelle GlobalProtect, et d’établir une connexion VPN sans y être autorisé. Elle touche les pare-feu sur lesquels les « cookies de contournement d’authentification » (authentication override) sont activés, avec une certaine configuration de certificat. L’agence américaine de cybersécurité, la CISA, l’a inscrite le 29 mai 2026 dans son catalogue des failles exploitées, avec la mention d’un usage connu dans des campagnes de rançongiciels.
Le 19 et le 20 octobre 2026, Unit 42, l’équipe de recherche de Palo Alto, a mis à jour son analyse de l’exploitation. Selon elle, des groupes de rançongiciels, dont Qilin et Inc, ont tenté de s’en servir. Le scénario décrit est le suivant : ouvrir une session VPN en contournant la double authentification, explorer le réseau, passer d’un ordinateur à l’autre, récupérer des identifiants et des données, puis déployer le rançongiciel. Dans un cas, les attaquants sont passés de la passerelle VPN à la plateforme des serveurs virtuels ; d’autres ont enchaîné avec une faille d’un logiciel de sauvegarde.
La faille de l’administration, CVE-2026-0322. Publiée le 14 octobre 2026 dans l’avis CVE-2026-0322, elle permet à un attaquant authentifié qui atteint l’interface d’administration d’exécuter du code avec tous les droits sur le pare-feu. Palo Alto signale une exploitation très limitée, et la CISA l’a inscrite le même jour. Le fabricant écrit que le risque est le plus élevé quand l’interface d’administration est joignable depuis Internet, et recommande de ne pas l’exposer.
Toutes ces pages ont été lues le 25 octobre 2026.
Quelles versions installer ?
Palo Alto donne, pour chaque branche de PAN-OS, les versions qui corrigent chaque faille. Une version plus récente de la même série convient aussi.
| Branche de PAN-OS | CVE-2026-0257 corrigée dans | CVE-2026-0322 corrigée dans |
|---|---|---|
| 12.2 | (non citée) | 12.2.4 |
| 12.1 | 12.1.4-h6, 12.1.7 | 12.1.4-h12, 12.1.7-h8, 12.1.10-h2 |
| 11.2 | 11.2.4-h17, 11.2.7-h14, 11.2.10-h7, 11.2.12 | 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3, 11.2.16 |
| 11.1 | 11.1.4-h33, 11.1.6-h32, 11.1.7-h6, 11.1.10-h25, 11.1.13-h5, 11.1.15 | 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15, 11.1.16-h3 |
| 10.2 | 10.2.7-h34, 10.2.10-h36, 10.2.13-h21, 10.2.16-h7, 10.2.18-h6 | 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11, 10.2.18-h12 |
Les versions anciennes, qui ne sont plus suivies, sont touchées : Palo Alto demande de passer à une version suivie et corrigée. Cloud NGFW n’est touché par aucune des deux ; Prisma Access, le service en ligne de Palo Alto, est mis à jour par le fabricant pour CVE-2026-0257 et n’est pas touché par CVE-2026-0322.
Que faire, concrètement ?
- Mettre à jour vers une version qui corrige les deux failles. Palo Alto prévient qu’après la mise à jour, les utilisateurs de GlobalProtect devront s’authentifier une fois de nouveau, et qu’il faut mettre à jour ensemble tous les portails et passerelles.
- En attendant, pour le VPN : utiliser un certificat réservé aux cookies de contournement, ou désactiver ces cookies sur le portail et la passerelle.
- Pour l’administration : la limiter à des adresses internes de confiance. Palo Alto indique qu’il n’existe pas de contournement pour CVE-2026-0322, seulement des mesures partielles.
- Chercher des traces : Unit 42 et Palo Alto publient des adresses liées aux attaques, à rechercher dans les journaux de GlobalProtect et du pare-feu. Une connexion réussie depuis l’une d’elles se traite comme un incident.
Ce que fait SateLink
SateLink Solution est une entreprise indépendante, sans lien avec Palo Alto Networks. Que votre pare-feu vienne de nous ou d’ailleurs, Romuald et son équipe peuvent vérifier avec vous les versions en place, ce que le réseau laisse voir depuis Internet et la façon dont vos équipes s’y connectent à distance. Avec la maintenance Sérénité, le réseau que nous suivons est supervisé à distance, les mises à jour critiques sont appliquées et les failles connues surveillées.
Le guide de la cybersécurité du réseau pour une PME reprend les recommandations pour tout le réseau. Pour l’accès à distance en particulier, lisez Accès au réseau de l’entreprise en télétravail : comment se connecter à distance proprement.
En résumé
- CVE-2026-0257 permet d’ouvrir une session VPN GlobalProtect sans authentification ; des groupes de rançongiciels s’en servent, selon Unit 42.
- CVE-2026-0322, publiée le 14 octobre 2026, vise l’interface d’administration et est déjà attaquée.
- Les versions corrigées sont listées par Palo Alto pour chaque branche de PAN-OS.
- En attendant : certificat réservé ou cookies désactivés pour le VPN, administration limitée à des adresses internes.
Pour faire le point sur votre accès à distance, l’appel de cadrage est gratuit : trente minutes pour voir par où l’on entre chez vous.
