Qilin Ransomware: Palo Alto GlobalProtect-Lücke CVE-2026-0257 als Einfallstor

Die Ransomware-Gruppe Qilin nutzt eine bekannte Schwachstelle in Palo Alto Networks PAN-OS als Einfallstor. Sicherheitsforscher von Arctic Wolf ordnen mehrere Einbrüche der Lücke CVE-2026-0257 im GlobalProtect-VPN zu. Die Qilin Ransomware gelangt so ohne gültige Zugangsdaten ins Netzwerk – und verschlüsselt im schlimmsten Fall ganze Domänen.

So funktioniert der Angriff mit der Qilin Ransomware

CVE-2026-0257 ist eine Authentifizierungs-Umgehung im GlobalProtect-Portal und -Gateway von PAN-OS, eingestuft mit CVSS 7,8. Ausnutzbar wird sie, wenn sogenannte Authentication-Override-Cookies zusammen mit bestimmten Zertifikatskonfigurationen aktiv sind. Dann können nicht authentifizierte Angreifer die Anmeldung umgehen und scheinbar legitime VPN-Sitzungen aufbauen. Betroffen sind laut Hersteller PAN-OS 12.1, 11.2, 11.1 und 10.2 vor den jeweils gepatchten Builds sowie einzelne Prisma-Access-Versionen.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Vom VPN-Zugang zur verschlüsselten Domäne

Das Verhalten nach dem Einbruch unterscheidet sich stark. In einigen Fällen ging es mit minimaler Verweildauer direkt zur Verschlüsselung. In anderen betrieben die Angreifer ausgiebige Erkundung, sammelten in großem Umfang Zugangsdaten und stahlen Daten per Rclone in den Cloud-Speicher MEGA, bevor sie die Qilin Ransomware ausrollten. Dieses Muster – erst Datendiebstahl, dann Verschlüsselung – erhöht den Druck bei der Erpressung.

Der Fall erinnert an die jüngst gemeldete Kampagne rund um FortiBleed und gekaperte Fortinet-Firewalls. Auch hier ist das Sicherheitsgerät am Netzwerkrand selbst das Ziel – ausgerechnet die Komponente, die eigentlich schützen soll.

Was jetzt zu tun ist

Palo Alto Networks hatte die Lücke bereits am 13. Mai 2026 geschlossen. Kurz darauf, ab dem 17. Mai, beobachtete Rapid7 erste Ausnutzung. Neu ist, dass nun eine aktive Ransomware-Gruppe die Schwachstelle systematisch verwertet. Wer noch nicht gepatcht hat, sollte sofort handeln.

• PAN-OS aktualisieren: Auf die vom Hersteller genannten, gepatchten Builds gehen – ohne Aufschub.
• Konfiguration prüfen: Authentication-Override-Cookies und die zugehörigen Zertifikatseinstellungen kontrollieren.
• Kompromittierung annehmen: Da die Lücke seit Mai ausgenutzt wird, gehören VPN-Sitzungen, Konten und Logs auf Spuren untersucht.

Backups sind die letzte Verteidigungslinie

Gegen Ransomware hilft am Ende nur eine saubere, getrennte Datensicherung. Sind aktuelle Backups offline verfügbar, verliert die Erpressung mit Verschlüsselung viel von ihrer Wirkung. Wer seine Sicherungen härten will, findet in unserem Ratgeber zu verschlüsselten USB-Sticks und externen SSDs praktische Empfehlungen. Ein Offline-Backup ersetzt keinen Patch – aber es entscheidet über den Ernstfall.

Quellen

• Arctic Wolf: Exploitation of CVE-2026-0257 Leads to Qilin Ransomware
• The Hacker News: Qilin Ransomware Attackers Exploit PAN-OS Authentication Bypass
• BleepingComputer: Critical GlobalProtect VPN bug now exploited in ransomware attacks