Palo Alto Networks hatte zur Behebung von CVE-2026-0257 mitgeteilt, dass das GlobalProtect-Portal und -Gateway der PAN-OS-Software es einem Angreifer ermöglichen, Sicherheitsbeschränkungen zu umgehen und eine nicht autorisierte VPN-Verbindung aufzubauen. Der Hersteller erklärte damals außerdem, ihm seien begrenzte Ausnutzungsversuche auf ungepatchten PAN-OS-Geräten ohne eingesetzte Gegenmaßnahmen bekannt.
Auslöser der öffentlichen Warnungen waren Beobachtungen von Rapid7. Das Unternehmen berichtete, die Schwachstelle werde seit dem 17. Mai bei zahlreichen Kunden ausgenutzt, um in Unternehmensnetzwerke einzudringen. CISA nahm CVE-2026-0257 am 29. Mai in den Katalog der Known Exploited Vulnerabilities auf und verpflichtete US-Bundesbehörden, ihre betroffenen GlobalProtect-Instanzen binnen drei Tagen zu sichern.
Neue Erkenntnisse kommen nun von Arctic Wolf Labs. Am Montag teilte das Unternehmen mit, mehrere Fälle beobachtet zu haben, in denen Bedrohungsakteure CVE-2026-0257 in Angriffen ausnutzten, die zu einer domainweiten Verschlüsselung durch Qilin-Ransomware führten. Bei der Untersuchung dieser Vorfälle gesammelte Belege deuteten darauf hin, dass mehrere mit Qilin verbundene Akteure die Schwachstelle aktiv nutzen, um Zielnetzwerke zu kompromittieren.
Arctic Wolf beschreibt mehrere voneinander unabhängige Einbrüche im Juni 2026, die alle in der Bereitstellung von Qilin-Ransomware endeten und jeweils auf die Ausnutzung von CVE-2026-0257 gegen Firewall-Appliances von Palo Alto Networks zurückgingen. Das Vorgehen nach dem Eindringen unterschied sich laut dem Unternehmen zwischen den einzelnen Vorfällen deutlich: Es reichte von schnellen Operationen, die nur auf Verschlüsselung abzielten, bis hin zu vollständiger doppelter Erpressung. Das könnte nach Einschätzung von Arctic Wolf darauf hindeuten, dass mehrere Partner unter dem Ransomware-as-a-Service-Modell von Qilin agieren.
Mit mittlerem Vertrauen bewertet Arctic Wolf Labs die Angriffe über CVE-2026-0257, die in der Verteilung von Qilin-Ransomware münden, als wahrscheinlich weiterhin laufend. Diese Einschätzung stützt das Unternehmen auf umfangreiche beobachtete Scan-Aktivitäten sowie auf die im RaaS-Modell typische Verteilung erfolgreicher Exploits an mehrere Partner.
Wie groß die potenzielle Angriffsfläche ist, zeigen Daten externer Beobachter. Shadowserver verfolgt nach eigenen Angaben inzwischen mehr als 167.000 öffentlich erreichbare GlobalProtect-VPN-Instanzen. Shodan fand zudem mehr als 172.000 IP-Adressen mit einem GlobalProtect-Fingerprint. Unklar bleibt allerdings, wie viele davon Honeypots sind oder bereits gegen Angriffe über CVE-2026-0257 gepatcht wurden.
Qilin ist eine Ransomware-as-a-Service-Operation, die im August 2022 unter dem Namen „Agenda“ auftauchte. Seitdem hat die Gruppe auf ihrer Leak-Seite im Darknet nach eigenen Angaben die Verantwortung für mehr als 2.000 Opfer übernommen. Zu den dort aufgeführten Betroffenen zählen unter anderem Nissan, Yangfeng, Asahi, Synnovis, Lee Enterprises und Court Services Victoria.
Palo Alto Networks wiederum gibt an, dass Produkte und Dienste des Unternehmens von mehr als 70.000 Kunden weltweit genutzt werden, darunter die meisten der größten US-Banken sowie 90 Prozent der Fortune-10-Unternehmen.