Uma falha numa das VPN empresariais mais usadas no mundo está a servir de porta de entrada para um dos grupos de ransomware mais ativos da atualidade. A Arctic Wolf Labs documentou uma série de ataques, ao longo de junho de 2026, em que uma vulnerabilidade nas firewalls da Palo Alto Networks foi explorada para obter acesso direto a redes empresariais — e, em poucas etapas, encriptar toda a infraestrutura com o ransomware Qilin.
Em resumo: a vulnerabilidade CVE-2026-0257 (CVSS 7,8) afeta o portal e a gateway GlobalProtect do PAN-OS, o sistema operativo das firewalls da Palo Alto Networks, e permite a um atacante não autenticado estabelecer uma ligação VPN sem credenciais válidas. Segundo a Arctic Wolf Labs, foi o ponto de entrada em múltiplas intrusões de junho de 2026 que terminaram com a encriptação de redes inteiras pelo ransomware Qilin. Os atacantes seguem um guião rápido: persistência via registo do Windows, roubo de credenciais do Active Directory, movimento lateral com PsExec e, antes de encriptar, apagam os registos de eventos do Windows e desativam o Microsoft Defender. A Palo Alto Networks já confirmou exploração ativa e disponibilizou correção — a prioridade é atualizar já.
A falha: um “cookie” que não devia ser aceite
A CVE-2026-0257 é uma vulnerabilidade de contorno de autenticação (authentication bypass) que afeta o portal e a gateway GlobalProtect — a funcionalidade de VPN das firewalls PAN-OS da Palo Alto Networks. Segundo o aviso oficial do fabricante, o problema só existe quando a firewall tem ativada a opção de “cookie de contorno de autenticação” (authentication override cookie) em conjunto com uma configuração específica de certificados. Nessas condições, um atacante sem quaisquer credenciais consegue gerar uma sessão VPN válida e ganhar acesso direto à rede interna, como se fosse um utilizador legítimo.
A Palo Alto Networks classifica a falha com severidade Alta (CVSS 7,8), mas atribui-lhe o nível de urgência mais elevado da sua escala — precisamente porque já confirmou tentativas de exploração ativa em equipamentos sem a correção aplicada. A causa técnica remonta a uma fragilidade na forma como o cookie de autenticação é validado (catalogada como CWE-565), permitindo que seja aceite sem a devida verificação de integridade.
Versões afetadas: PAN-OS 12.1 (antes da 12.1.4-h6 ou 12.1.7), 11.2 (antes da 11.2.4-h17, 11.2.7-h14, 11.2.10-h7 ou 11.2.12), 11.1 (antes da 11.1.4-h33, 11.1.6-h32, 11.1.7-h6, 11.1.10-h25, 11.1.13-h5 ou 11.1.15) e 10.2 (antes da 10.2.7-h34, 10.2.10-h36, 10.2.13-h21, 10.2.16-h7 ou 10.2.18-h6), bem como versões do Prisma Access anteriores à 10.2.10-h36 e 11.2.7-h13. O Cloud NGFW e o Panorama não são afetados.
Há um pormenor que torna estes ataques ainda mais evitáveis: a Palo Alto Networks divulgou a vulnerabilidade e disponibilizou a respetiva correção a 13 de maio de 2026. As intrusões documentadas pela Arctic Wolf ocorreram em junho — ou seja, mais de um mês depois de existir patch. As vítimas foram comprometidas não por uma falha desconhecida (zero-day), mas por equipamentos que permaneceram sem atualização, um lembrete de que a janela entre a divulgação e a exploração em massa é hoje extremamente curta.
Da VPN comprometida ao domínio inteiro
A Arctic Wolf Labs analisou várias intrusões distintas em que a exploração desta falha serviu de porta de entrada consistente. Os atacantes estabeleceram sessões VPN a partir de sistemas que se identificavam com o nome de anfitrião “kali” — sugerindo o uso da distribuição Kali Linux como plataforma de ataque — e várias moradas IP repetiram-se tanto na exploração inicial como nas sessões VPN seguintes, indício de infraestrutura ou ferramentas partilhadas entre afiliados do Qilin.
Uma vez dentro da rede, o padrão de ataque seguiu etapas notavelmente consistentes entre os diferentes incidentes:
- Persistência: criação de uma chave de registo “Run” com um padrão distintivo — um asterisco seguido de seis letras minúsculas aleatórias — a apontar diretamente para o ransomware já preparado.
- Acesso remoto redundante: instalação de AnyDesk (em múltiplas localizações, para escapar a deteções), Ngrok e LogMeIn, garantindo várias vias de acesso em paralelo.
- Roubo de credenciais: extração da memória do processo LSASS através do rundll32.exe, disfarçando o resultado como um ficheiro “.odt” para evitar deteção — e extração de toda a base de dados do Active Directory via ntdsutil.exe, obtendo acesso a todas as contas do domínio.
- Reconhecimento e movimento lateral: uso do SoftPerfect Network Scanner e do NetExec para mapear a rede, seguido de movimento lateral com o PsExec através das partilhas administrativas (C$).
Apagar o rasto antes de encriptar tudo
Antes de acionar a encriptação, os atacantes tratam sistematicamente de dificultar a investigação forense. Num dos padrões observados pela Arctic Wolf, um comando de PowerShell percorre e limpa todos os registos de eventos do Windows — não apenas os de Segurança ou Sistema, mas também canais menos vigiados, como o do PowerShell ou do Agendador de Tarefas, que muitas vezes são a última pista disponível quando os registos principais desaparecem. Em paralelo, a proteção em tempo real do Microsoft Defender é desativada.
Nem todas as intrusões seguiram o mesmo objetivo final: em alguns casos, os atacantes avançaram diretamente para a encriptação, com pouco tempo de permanência na rede; noutros, houve reconhecimento extenso e roubo de dados antes da encriptação, através de ferramentas como o Rclone, o ProtonDrive e o FileZilla, com destino ao serviço de armazenamento na nuvem MEGA — um padrão de dupla extorsão típico do Qilin. Um alvo recorrente antes de encriptar foi a infraestrutura de backup Veeam, precisamente para eliminar a via de recuperação e aumentar a pressão para o pagamento do resgate.
O ransomware final, sempre com o nome win.exe, foi preparado na pasta C:\PerfLogs\ — um diretório que existe por defeito no Windows, raramente monitorizado por soluções de segurança, e que os atacantes confirmaram estar acessível antes de o usar. A execução exige uma palavra-passe como parâmetro de linha de comandos, o que dificulta a análise automática em ambientes de teste (sandbox).
A Arctic Wolf avalia, com confiança moderada, que esta campanha continua ativa, sustentada pela intensa atividade de scanning à procura de equipamentos vulneráveis e pela lógica do modelo RaaS, que distribui exploits funcionais por vários afiliados. Por outras palavras: não é um incidente isolado e encerrado, mas uma ameaça em curso.
Porque é que isto importa em Portugal
As firewalls Palo Alto Networks estão amplamente instaladas em empresas, bancos e organismos públicos portugueses como ponto de acesso remoto às suas redes — exatamente a funcionalidade agora visada. Este caso não é isolado: já noticiámos um padrão semelhante quando uma falha crítica em VPNs Check Point foi explorada por um afiliado do Qilin antes de a correção estar disponível. O padrão está a repetir-se: os equipamentos de perímetro — firewalls e VPN — continuam a ser o alvo preferido para o acesso inicial que leva depois a ransomware à escala do domínio inteiro.
Este caso reforça também uma tendência mais ampla que já documentámos: a maioria dos ataques de ransomware começa hoje com o abuso de identidades e credenciais, e não com malware tradicional. O ransomware em Portugal também não tem abrandado — segundo dados que já reportámos, o país registou uma aceleração de 33% nos ataques de ransomware no período mais recente analisado. Para as organizações sujeitas ao novo regime jurídico da cibersegurança (transposição da NIS2), a gestão de patches em equipamentos de perímetro está diretamente ligada às obrigações de gestão de risco e de notificação de incidentes.
O que fazer
- Aplicar a correção imediatamente em todas as firewalls PAN-OS e Prisma Access expostas à internet.
- Terminar todas as sessões GlobalProtect ativas depois de atualizar, para invalidar sessões não autorizadas que possam já existir.
- Como mitigação temporária, usar um certificado dedicado para os cookies de contorno de autenticação (nunca reutilizar o certificado da gateway) ou desativar por completo a opção de contorno de autenticação.
- Se houver suspeita de exploração, partir do princípio de comprometimento total do domínio e mudar todas as credenciais administrativas, incluindo a conta KRBTGT (duas vezes, conforme a orientação da Microsoft).
- Monitorizar e restringir a execução a partir de C:\PerfLogs\, incluindo alertas para a criação de ficheiros executáveis nessa pasta.
- Enviar os registos de eventos do Windows para um SIEM centralizado, em tempo real, para preservar evidência mesmo que os registos locais sejam apagados. Um Event ID 1102 (limpeza de registo de auditoria) deve ser tratado como um alerta de alta prioridade.
Perguntas frequentes
O que é a CVE-2026-0257?
É uma vulnerabilidade de contorno de autenticação (CVSS 7,8) no portal e na gateway GlobalProtect das firewalls PAN-OS da Palo Alto Networks. Permite a um atacante sem credenciais estabelecer uma sessão VPN válida, desde que a firewall tenha ativados os cookies de contorno de autenticação com uma configuração específica de certificados.
O que é o ransomware Qilin?
O Qilin (também conhecido como “Agenda”) é uma operação de ransomware-as-a-service (RaaS) ativa desde pelo menos 2022, que opera segundo um modelo de dupla extorsão: encripta os dados da vítima e ameaça publicá-los no seu site de fugas caso o resgate não seja pago. Tem visado organizações da saúde, indústria, educação, administração pública e serviços profissionais a nível global.
Como sei se a minha firewall está vulnerável?
As versões afetadas são o PAN-OS 12.1, 11.2, 11.1 e 10.2 anteriores às versões corrigidas, e certas versões do Prisma Access. O Cloud NGFW e o Panorama não são afetados. A Palo Alto Networks disponibiliza a lista completa de versões corrigidas no seu aviso oficial de segurança.
Esta falha já está a ser explorada?
Sim. A Palo Alto Networks confirmou tentativas de exploração ativa em equipamentos sem a correção aplicada, e a Arctic Wolf Labs documentou múltiplas intrusões reais, em junho de 2026, que resultaram na implementação do ransomware Qilin.
Esta informação tem caráter noticioso e baseia-se no aviso oficial de segurança da Palo Alto Networks e na análise técnica publicada pela Arctic Wolf Labs a 20 de julho de 2026.