2026-10-22 11:56:29 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

MFA还在，VPN却多出一条成功连接

原创

tcode
tcode

字节脉搏实验室

2026年10月21日 11:29
北京

去阅读

摘要：Palo Alto Networks更新称，Qilin与INC勒索团伙仍在利用已修复的CVE-2026-0257建立未授权VPN会话。文章用版本、认证覆盖Cookie和连接日志三条线，给出从入口核实到虚拟化层排查的顺序。

如果一条GlobalProtect日志显示“Gateway connected”，而对应员工说自己当天没有登录VPN，值班人员最容易先问账号有没有泄露。更准确的起点是：这台网关是否容易受影响，连接是否来自公开威胁情报中的地址或伪造客户端，成功后又有谁动过管理面和虚拟化平台。Palo Alto Networks的远程访问产品CVE-2026-0257正提供了这样一个容易被误判的场景：攻击者可能不必知道员工密码，也能建立VPN会话并绕过原有认证控制。

厂商安全公告在2026年5月13日发布了CVE-2026-0257，6月3日仍保留更新；受影响的是PAN-OS的GlobalProtect门户和网关，CVSS-BT评分为7.8，状态明确写着已遭攻击。公告说明，漏洞与“认证覆盖Cookie”有关，攻击者可绕过安全限制，建立未授权VPN连接。Panorama和Cloud NGFW不受该问题影响，但这不代表装了云防火墙或管理平台的网络就自动安全，远程访问网关本身仍需单独核验。

一个常被忽略的条件是配置。厂商写得很具体：门户或网关启用了“生成认证覆盖Cookie”或“接受认证覆盖Cookie”，并且存在特定证书配置，才属于所需暴露条件。换句话说，版本落后是必要证据，不是全部证据。一个旧版本但没有开启认证覆盖Cookie的实例，风险路径与已启用该功能的实例不同；一个补丁已装但保留了旧会话的实例，也不能仅凭版本号宣布清零。排障要把版本、配置和会话日志放在同一时间轴。

这里的“绕过MFA”不是攻击者猜中了员工的六位验证码，而是网关错误地信任了一枚本不应被信任的认证覆盖Cookie。Cookie原本用于减少重复认证，一旦校验和完整性前提被破坏，攻击者就能借助它跨过正常登录流程。CISA在2026年5月13日已将该漏洞收入已知被利用漏洞目录，说明修复不能再被当作普通月度补丁排队。理解这层机制后，管理员看到“MFA已启用”时应继续追问：认证覆盖功能是否同时开启，相关Cookie能否被伪造，修复后旧Cookie是否已被淘汰。

Unit 42还提醒了一个与漏洞本身叠加的暴露问题：在部分事件响应中，组织把GlobalProtect配置映射到了管理接口的HTTP或HTTPS服务上，使管理面可能从互联网访问，常见端口包括4443和3879。这个映射不等于漏洞利用，也不等于所有使用这些端口的实例都已失陷，但它会让一个远程访问问题升级为管理面暴露问题。合规的远程接入应把门户、网关和管理接口的访问路径分开审查，不能只确认业务VPN能用。

2026年10月20日更新的Unit 42威胁简报给出了更晚的活动：继续观察到Spikey Scorpius（即Qilin）和Tarnished Scorpius（即INC）尝试利用这一漏洞，公开报道还提到使用Settra勒索软件的活动。攻击者先取得企业网络的初始立足点，再绕过MFA建立VPN连接，随后用双用途远程管理工具侦察，经RDP和SMB横向移动，为凭据收集、数据外传和勒索部署准备工具。这里应把“观察到尝试”与“已确认成功受害”分开，威胁简报没有给出中国境内受害组织名单。

更危险的一步发生在虚拟化层。Unit 42称，攻击者从被攻陷的VPN网关转向vCenter管理设备，再在ESXi主机上关闭execInstalledOnly等防护配置，用自定义工具直接读取域控制器虚拟磁盘并离线提取凭据。这种路径绕开了虚拟机内部的终端检测工具，因为操作对象已经变成承载虚拟机的管理面和磁盘镜像。公开材料没有证明每一起利用都会走到这里，但它改变了事件响应的边界：VPN告警不能只在网关结案。

可以把事件分为三个处置档位。版本和配置都不满足暴露条件的实例，先核对并记录排除依据；版本受影响且认证覆盖Cookie开启，但日志中没有可疑成功连接的实例，按高危暴露处理并尽快升级、轮换Cookie、查看管理面变更；只要存在与公开IP、伪造设备字段相符的成功会话，就按可能失陷处理，把vCenter、ESXi、域控和备份系统纳入同一调查。三个档位不能用一个“已封IP”动作覆盖，否则最容易漏掉已经进入内网的会话。

所以第一张表应该先回答“是否真的成功了”。在GlobalProtect日志里按时间筛选成功建立的连接，先看登记设备与员工终端是否一致，再看来源地址是否落在简报公开的九个历史地址中。截至更新稿，简报列出的地址包括23.128.228.6、104.207.144.154、146.19.216.119至146.19.216.125中的多个地址、179.43.172.213、185.195.232.139、198.12.106.60和202.144.192.47。地址会变化，清单不是永久黑名单，但命中清单的连接应提高优先级。

第二张表看客户端伪装特征。Unit 42建议搜索成功连接中使用可疑主机标识或设备名的记录，例如aa:bb:cc:dd:ee:ff、00:11:22:33:44:55、WINDOWS-LAPTOP-001、DESKTOP-GP01和GP-CLIENT。公开PoC还留下了固定配置特征：endpoint\_os\_version为“Microsoft Windows 10 Pro 64-bit”，source\_user\_info.domain为空。实际事件中这些字段可能变化，因此它们适合作为高置信度复核线，而不是只凭一个字段自动定性。

第三张表才处理“成功以后去过哪里”。把VPN会话ID与之后的身份认证、RDP、SMB、vCenter和ESXi管理日志关联，看同一时段是否出现新设备、特权账号登录、防护配置变更、快照导出或磁盘镜像读取。若VPN成功后随即出现vCenter登录和ESXi配置变化，就不能只封一个来源IP。要保护虚拟化平台的管理凭据、API会话和备份系统，并检查是否有人利用Veeam等备份基础设施的已知漏洞继续扩大影响。

排查时还要统一日志来源的时区。防火墙、身份提供方、终端代理和虚拟化管理平台经常分别使用本地时间或UTC，直接按小时拼接会制造看似连续的假攻击链。应先确认每条时间记录的时区与时钟同步状态，再按会话ID、用户名、来源地址和客户端主机名串联。若日志只保留失败的认证事件、没有成功连接或管理面审计，组织无法证明没有发生访问；这种证据缺口本身就应列入整改项。

处置顺序也会影响证据。先冻结可疑VPN会话和认证覆盖Cookie，保留网关、身份提供方、RDP、SMB、vCenter、ESXi及备份系统的原始日志；再对照厂商修复版本表升级网关。Palo Alto公告提醒，修复后会生成更安全的Cookie，GlobalProtect用户需要重新认证。运维团队应提前安排窗口和用户通知，不要把“用户重新登录”误当成新的攻击峰值；同时撤销仍可用的旧会话、管理令牌和异常本地账号。

普通员工能做的事情有限，但并非没有线索。若同一个人没有打开VPN客户端、没有输入MFA，却收到新的GlobalProtect会话通知，应立即报告安全团队，不要反复点“断开”后继续上网。管理员则不要只看失败登录次数。攻击成功时，日志可能非常干净：认证没有报错，MFA状态看起来也正常，真正异常的是客户端指纹、来源地址、设备和后续路径。成功记录比一串失败记录更值得调查。

这份材料仍有边界。公告给出了受影响版本和配置前提，却不会替每个组织判断是否启用了认证覆盖Cookie；Unit 42公开了部分历史IP和伪造字段，却没有给出所有后续变体；勒索团伙的归因来自厂商威胁情报，不等于已经查明每次入侵的操作者。可以把“版本旧、Cookie启用、命中可疑客户端特征、随后出现管理面活动”当作一条证据链，不能把其中任何一项单独扩写成国内某机构已经失陷。

给值班同事的一句话是：看到“Gateway connected”先别查员工有没有输密码，先确认这条连接是不是员工设备、是否命中公开活动特征、成功后有没有人靠近vCenter和ESXi。MFA绕过不等于身份系统整体失效，但意味着原来的“登录成功”不能再单独证明访问者可信。补丁要打，Cookie要换，会话要冻结，虚拟化层和备份系统的日志也要一起看，四件事少做一件都可能把调查停在网关入口。

来源

Palo Alto Networks Security Advisory，CVE-2026-0257 PAN-OS: GlobalProtect Authentication Bypass Vulnerabilities，2026-05-13发布、2026-06-03更新，https://security.paloaltonetworks.com/CVE-2026-0257

Palo Alto Networks Unit 42，Threat Brief: Active Exploitation of PAN-OS CVE-2026-0257，2026-10-20更新，https://unit42.paloaltonetworks.com/active-exploitation-of-pan-os-cve-2026-0257/