LONDON (IT BOLTWISE) – Palo Alto Networks beobachtet weiter die Ausnutzung einer gepatchten Lücke in PAN-OS und Prisma Access. Das betroffene Problem CVE-2026-0257 mit CVSS 7,8 erlaubt laut Unit 42 den Bypass von Multi-Factor Authentication, um unautorisierte VPN-Sessions aufzubauen. Die Angreifer nutzen anschließend RDP und SMB für die laterale Ausbreitung und wechseln später laut den Forschern gezielt auf die Virtualisierungsschicht. Besonders kritisch ist dabei der Pivot zum vCenter-Umfeld, um Offline-Credential-Dumping gegen Domain-Controller-Virtual-Disks vorzubereiten.
Palo Alto Networks warnt, dass es trotz eines bereits vorgenommenen Patches weiterhin aktive Ausnutzung einer Schwachstelle in PAN-OS und Prisma Access durch Ransomware-Akteure sieht. Im Zentrum steht CVE-2026-0257 mit einer CVSS-Bewertung von 7,8: Dabei handelt es sich um eine Authentifizierungsumgehung, die den Aufbau unautorisierter VPN-Verbindungen erleichtern kann. Das Problem wurde im Mai 2026 behoben und am 13. Mai 2026 von der U.S. Cybersecurity and Infrastructure Security Agency (CISA) in den Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen. Für Security-Teams ist das vor allem deshalb relevant, weil sich die Lücke nicht nur als kurzfristiger Initialzugang eignet, sondern offenbar als stabiler Startpunkt für eine komplette Angriffsserie dient.
Laut Unit 42 ist das Taktikmuster der betroffenen Gruppen dabei bemerkenswert konsistent: Spikey Scorpius (aka Qilin) und Tarnished Scorpius (aka INC) mutmaßlich nutzen CVE-2026-0257, um zunächst ins Netzwerk einzudringen und anschließend Multi-Factor Authentication (MFA) zu umgehen. Der praktische Effekt ist ein „Gateway“-Einstieg, bei dem die klassische Schutzannahme bricht, MFA würde den VPN-Zugang ausreichend absichern. Ob die Organisationen die Korrektur wirklich umgesetzt haben oder ob es noch Systeme mit ausstehenden Hotfixes gibt, zeigt sich dann häufig an wiederkehrenden „successful gateway-connected events“: Genau hierfür empfiehlt Palo Alto Networks proaktives Hunting und das Einleiten passender Incident-Response-Prozesse.
Nach dem Aufbau einer VPN-Session beschreiben die Unit-42-Forschenden eine konkrete Post-Compromise-Chain. Zunächst erfolgt die interne Aufklärung über Dual-Use-Remote-Management-Tools, also Werkzeuge, die in legitimen Betriebs- und Wartungsszenarien vorkommen, sich aber auch für Reconnaissance missbrauchen lassen. Danach wird laterale Bewegung über RDP und SMB umgesetzt, was in vielen Unternehmensumgebungen eine schnelle Skalierung der Reichweite ermöglicht. Anschließend folgen das Vorbereiten zusätzlicher Komponenten für Credential Harvesting, das Planen der Datenexfiltration und schließlich die Ausführung des Ransomware-Deployments. Dass die Angriffe laut Angaben außerdem eine breite Branchenstreuung erreichen – von Bildung und Gesundheitswesen über Finanzdienstleistungen bis hin zu Transport, Energie und Retail – unterstreicht, dass es sich weniger um ein Nischenproblem handelt als um ein wiederholbares Angriffsverfahren.
Technisch wird es besonders heikel, wenn der Angriff nicht bei der „klassischen“ Netzwerkebene stehen bleibt. Laut Unit 42 ist die wichtigste Weiterentwicklung der Taktiken, Techniken und Prozeduren (TTPs) nach erfolgreicher Ausnutzung von CVE-2026-0257 der direkte Pivot zur Virtualisierungsschicht. In einem von den Forschern beschriebenen Fall wechselten Angreifer demnach vom kompromittierten VPN-Gateway in Richtung einer vCenter-Management-Appliance. Von dort aus sollen sie laut Darstellung Sicherheitskontrollen auf ESXi-Hypervisoren abgeschaltet haben (Stichwort: execInstalledOnly) und anschließend ein eigenes Tool verwendet haben, um offline Credentials gegen einen Domain-Controller direkt aus dem virtuellen Disk-Image (VMDK) auszulesen. Dieser Ablauf zielt darauf ab, Sicherheitsmechanismen „im Gast“ – also Endpoint Detection and Response (EDR) sowie In-Guest-Schutz – zu umgehen, und erlaubt laut Kontext das Erlangen domänenweiter Anmeldedaten.
Der Angriff zeigt damit eine klare Logik: Der Weg führt nicht nur zum Verschlüsseln, sondern zur Kontrolle der Identitäten, die das Wiederherstellen und Segmentieren im Krisenfall erschweren. Das wird zusätzlich dadurch untermauert, dass die Akteure die initiale Zugriffsmethode mit weiteren Exploit-Werkzeugen koppeln, darunter Bemühungen zur Kompromittierung von Veeam-Backup-Infrastrukturen über bekannte Schwachstellen wie CVE-2023-27532. Solche Kombinationen erhöhen die Chance, dass Daten exfiltriert, Backups gezielt sabotiert und später Lösegeldforderungen mit belastbaren Druckmitteln untermauert werden können. Bereits zuvor war die Ausnutzung von CVE-2026-0257 mutmaßlich auch in anderen Zusammenhängen aufgefallen, darunter Berichte, die von schnellen Verschlüsselungsphasen bis hin zu vollständigen Double-Extortion-Szenarien reichten – ein Hinweis darauf, dass die „Ransomware-Kette“ in der Praxis flexibel auf Unternehmensreaktionen reagiert.
Für Unternehmen ergibt sich daraus vor allem eine Priorisierung: Patch-Management allein reicht offenbar nicht, wenn verbleibende Systeme, falsch konfigurierte Gateways oder unentdeckte VPN-Zugänge weiterhin als Einfallstor dienen. Palo Alto Networks rückt deshalb das Hunting nach Indikatoren kompromittierter Gateway-Sessions in den Vordergrund und verbindet es mit der Erwartung, dass Teams Incident Response gemäß vorhandenen Runbooks starten. Praktisch heißt das, dass Security-Verantwortliche Logdaten rund um VPN-Zugriffe, Anomalien an Authentifizierungsflüssen sowie Spuren der späteren Lateral-Movement-Schritte (RDP/SMB) konsequent nachverfolgen sollten – und zusätzlich die Virtualisierungsebene im Blick behalten müssen, weil dort die entscheidende Eskalationsstufe liegen kann.
Markt- und Branchenbeobachter dürften dabei vor allem die Verschiebung der Angriffsplanung hin zur „Infrastructure-as-a-Target“-Perspektive ernst nehmen: Wer heute nur endpointsichernde Maßnahmen im Fokus hat, unterschätzt die Angriffsfläche, die durch Management-Komponenten und Virtualisierungs-Workflows entsteht. Die in den Beschreibungen dokumentierten TTPs zeigen außerdem, wie schnell aus einem „klassischen“ Authentifizierungsbypass ein technisch tiefes Kompromittieren werden kann – bis hin zum Offline-Dumping aus virtuellen Datenträgern. Die wichtigste Konsequenz ist damit weniger ein einzelnes Produkt-Fix, sondern ein umfassender Blick auf die Kette von Zugang, Identität und Wiederherstellungsfähigkeit im gesamten Stack.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Qilin- und INC-Ransomware missbrauchen CVE-2026-0257 für MFA-Bypass" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Qilin- und INC-Ransomware missbrauchen CVE-2026-0257 für MFA-Bypass" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Qilin- und INC-Ransomware missbrauchen CVE-2026-0257 für MFA-Bypass« bei Google Deutschland suchen, bei Bing oder Google News!