Uma vaga de exploração ativa contra dispositivos VPN de vários grandes fabricantes está a permitir que grupos de ransomware, com destaque para o Qilin, entrem em redes empresariais sem sequer precisarem de uma palavra-passe válida. No centro da onda estão duas falhas críticas de contorno de autenticação: uma no GlobalProtect da Palo Alto Networks (CVE-2026-0257) e outra nas soluções de acesso remoto da Check Point (CVE-2026-50751). Em ambos os casos, os atacantes conseguem estabelecer sessões VPN aparentemente legítimas e, a partir daí, mover-se lateralmente até comprometerem toda a organização.
Resposta rápida: Falhas de contorno de autenticação em VPN da Palo Alto (CVE-2026-0257) e da Check Point (CVE-2026-50751, CVSS 9,3) estão a ser exploradas ativamente e já foram associadas ao ransomware Qilin. Ambas foram adicionadas ao catálogo KEV da CISA e o CNCS emitiu alerta em Portugal. Aplique de imediato os patches dos fabricantes, desative a funcionalidade de authentication override ou o IKEv1 quando não forem necessários, e reveja os registos das VPN à procura de sessões suspeitas.
O que aconteceu
Os dispositivos de perímetro expostos à internet voltaram a ser o vetor de entrada preferido dos operadores de ransomware. Investigadores de segurança documentaram uma série de intrusões em que a porta de entrada foi uma VPN corporativa vulnerável, com a exploração a começar poucos dias após — ou até antes — da divulgação pública das falhas.
No caso da Palo Alto Networks, a 13 de maio de 2026 a empresa publicou um aviso de segurança para a CVE-2026-0257, uma falha de contorno de autenticação que afeta o PAN-OS e o Prisma Access quando existe uma configuração específica. A vulnerabilidade reside no tratamento indevido dos chamados authentication override cookies. A funcionalidade de override de autenticação emite cookies a utilizadores já autenticados para que não tenham de reintroduzir credenciais em cada ligação. Quando mal configurada, esses cookies podem ser forjados.
A Rapid7 foi decisiva na deteção. Identificou duas vagas de exploração que afetaram várias organizações, ambas atribuídas, com elevada probabilidade, a um único agente de ameaça com base num identificador de dispositivo consistente. A empresa divulgou indicadores de comprometimento e um script de prova de conceito que os defensores podem usar para verificar se um equipamento é vulnerável à CVE-2026-0257. A publicação dessa PoC, a 29 de maio, levou a Palo Alto a rever a gravidade e a CISA a incluir a falha no catálogo de vulnerabilidades exploradas.
Semanas depois, a ligação ao ransomware ficou confirmada. O grupo de ransomware Qilin está a explorar a falha crítica de contorno de autenticação do GlobalProtect para comprometer redes de vítimas, segundo a empresa de cibersegurança Arctic Wolf. A Arctic Wolf investigou vários incidentes de ransomware em junho nos quais os atacantes obtiveram acesso inicial explorando a falha, identificada como CVE-2026-0257, antes de implantarem o Qilin nas redes das vítimas. A gravidade escalou de tal forma que, segundo os investigadores, as organizações devem assumir que uma exploração bem-sucedida pode resultar num comprometimento completo do Active Directory, salvo prova em contrário.
A falha na Check Point e a ligação ao Qilin
Em paralelo, a Check Point emitiu o seu próprio alerta. A Check Point Research descobriu a exploração ativa da CVE-2026-50751, uma falha crítica de contorno de autenticação (CVSS 9,3) nas implementações Remote Access VPN e Mobile Access, com atividade pós-comprometimento associada ao grupo de ransomware Qilin. A raiz do problema é distinta da falha da Palo Alto: a CVE-2026-50751 visa implementações configuradas para usar o protocolo de troca de chaves IKEv1, agora obsoleto.
Na prática, ao explorar uma falha lógica na validação de certificados, um atacante remoto não autenticado consegue estabelecer uma sessão VPN sem uma palavra-passe válida, contornando todos os requisitos de autenticação. A falha afeta os produtos Mobile Access / SSL VPN, Remote Access VPN e Spark Firewall, nas versões R80.20.X a R82.10.
A cronologia é reveladora. A Check Point começou a investigar após detetar atividade suspeita e encontrou indícios que remontam a 4 de maio. Até ao momento, a investigação identificou algumas dezenas de organizações-alvo por todo o mundo. Durante a análise, a Check Point encontrou uma segunda vulnerabilidade, a CVE-2026-50752, que afeta a validação de certificados no obsoleto IKEv1 e poderia permitir ataques man-in-the-middle contra comunicações VPN site-to-site em certas condições, embora não tenha sido observada qualquer exploração desta segunda falha. Um detalhe preocupante: a mesma infraestrutura de ataque foi observada a visar vulnerabilidades em VPN da Palo Alto Networks, F5 e Fortinet.
Cronologia dos acontecimentos
| Data | Acontecimento |
|---|---|
| 4–7 maio 2026 | Primeiros indícios de exploração das falhas (Check Point / Palo Alto) |
| 13 maio 2026 | Palo Alto publica o aviso para CVE-2026-0257 |
| 17 maio 2026 | Exploração ativa da falha da Palo Alto confirmada |
| 29 maio 2026 | PoC pública da Rapid7; CISA adiciona CVE-2026-0257 ao KEV |
| Junho 2026 | Arctic Wolf associa a falha da Palo Alto ao ransomware Qilin |
| 9 junho 2026 | Check Point divulga CVE-2026-50751; CISA adiciona ao KEV; CNCS alerta em Portugal |
Como decorre o ataque
O padrão observado é consistente com o modo de operação dos grupos de ransomware-as-a-service. Após o acesso inicial via VPN, os atacantes procuram consolidar o domínio da rede. Os investigadores observaram de forma consistente extração de credenciais do LSASS, extração da base de dados do Active Directory (NTDS.dit), roubo de credenciais e movimento lateral usando PsExec, RDP e partilhas administrativas, antes da implantação do ransomware em toda a empresa.
Um aspeto que torna estes ataques particularmente perigosos é a aparência de legitimidade. Como os atacantes estabelecem o que parecem ser sessões VPN legítimas, as organizações não devem assumir que a MFA ou a monitorização de autenticação padrão, por si só, evitam ou detetam o comprometimento. No caso da falha da Palo Alto, a exploração permite acesso VPN não autorizado ao GlobalProtect quando os authentication override cookies estão configurados em cenários específicos de certificados.
Versões afetadas e identificadores
| Fabricante | CVE | CVSS | Produtos / versões |
|---|---|---|---|
| Palo Alto Networks | CVE-2026-0257 | 7,8 | PAN-OS (firewalls PA-Series e VM-Series) e Prisma Access com GlobalProtect e authentication override |
| Check Point | CVE-2026-50751 | 9,3 | Mobile Access/SSL VPN, Remote Access VPN e Spark Firewall (R80.20.X a R82.10) com IKEv1 |
| Check Point | CVE-2026-50752 | 7,4 | Validação de certificados em IKEv1 (sem exploração observada) |
Sobre a falha da Palo Alto, é importante notar a condição de exploração. Os produtos afetados têm de ter a funcionalidade de authentication override ativa no portal ou no gateway do GlobalProtect e reutilizar o certificado de cifragem e decifragem do cookie de override com outra funcionalidade para serem vulneráveis. A empresa esclareceu ainda que o Panorama e o Cloud NGFW não são afetados por estes problemas.
Mitigações recomendadas
- Palo Alto: os produtos afetados devem desativar a funcionalidade de authentication override ou gerar um novo certificado dedicado exclusivamente a essa funcionalidade.
- Check Point: aplicar o hotfix disponibilizado e seguir a orientação de segurança e passos de mitigação publicados pela empresa.
- Desativar o protocolo IKEv1 obsoleto sempre que não seja estritamente necessário.
- Priorizar auditorias forenses de registos e revisões de configuração a partir da data mais precoce de exploração observada.
- Rever os registos das VPN à procura de sessões estabelecidas a partir dos IOCs divulgados pelos fabricantes e pela Rapid7.
Porque é que isto importa em Portugal
Estas falhas não são um problema distante. O CNCS alertou para uma vulnerabilidade crítica em soluções VPN da Check Point que está a ser explorada ativamente e permite contornar mecanismos de autenticação. O alerta, referente à CVE-2026-50751, foi partilhado a 9 de junho de 2026, sinal de que o CERT.PT considera a ameaça relevante para o tecido empresarial nacional.
Para PME e organizações portuguesas, o risco é dobrado. Por um lado, muitas dependem destes appliances como única barreira de acesso remoto. Por outro, o comprometimento de uma VPN abre caminho ao roubo e à cifragem de dados pessoais, com implicações diretas no RGPD — desde a obrigação de notificar a CNPD em 72 horas até potenciais coimas. Além disso, as entidades abrangidas pelo novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) têm agora deveres reforçados de gestão de vulnerabilidades e de notificação de incidentes significativos ao CNCS. Manter os equipamentos de perímetro atualizados deixou de ser boa prática para passar a ser, em muitos casos, obrigação legal.
Perguntas frequentes
A minha VPN da Palo Alto está vulnerável à CVE-2026-0257?
Apenas se o GlobalProtect tiver a funcionalidade de authentication override ativa e reutilizar o certificado de cifragem do cookie com outra funcionalidade. O Panorama e o Cloud NGFW não são afetados. Verifique a configuração no aviso oficial e aplique o patch ou as mitigações da Palo Alto Networks.
O que torna a falha da Check Point tão grave?
A CVE-2026-50751 tem uma classificação CVSS de 9,3 e permite estabelecer uma sessão VPN sem qualquer palavra-passe válida, em implementações que ainda usam o protocolo obsoleto IKEv1. Já foi associada a atividade pós-comprometimento do ransomware Qilin.
A autenticação multifator protege contra estes ataques?
Não necessariamente. Como os atacantes estabelecem sessões que parecem legítimas, os investigadores avisam que a MFA ou a monitorização de autenticação padrão, por si só, podem não evitar nem detetar o comprometimento. É essencial aplicar os patches e rever ativamente os registos.
Que devo fazer se suspeitar de comprometimento?
Faça auditorias forenses dos registos das VPN desde as datas mais precoces de exploração, procure os IOCs divulgados e assuma um possível comprometimento do Active Directory até prova em contrário. Ative os protocolos de resposta a incidentes e, sendo entidade abrangida, notifique o CNCS conforme o Regime Jurídico da Cibersegurança.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente por Palo Alto Networks (Unit 42), Check Point Research, Rapid7, Arctic Wolf, CISA e CNCS/CERT.PT.