一隻戴著戒指的手拿著綠色光纖接頭對準光纖配線架，周圍是多條黃色光纖跳線與排列整齊的綠色接頭 — 示意圖（資料照片），美國田納西州一家電信合作社的資料中心，技術人員安插光纖跳線，2018 年拍攝；畫面中沒有 Palo Alto Networks 的設備，與本案無關。美國農業部（USDA）攝，公有領域，Wikimedia Commons。

資安Palo Alto NetworksVPN勒索軟體

Palo Alto 更新 GlobalProtect 認證繞過漏洞 CVE-2026-0257 威脅簡報：勒索軟體集團 Qilin、Inc 拿它進企業網路，再轉進 vCenter 從網域控制站虛擬磁碟取帳密

趨勢新聞2026 年 10 月 20 日

Palo Alto Networks 旗下威脅研究單位 Unit 42 美國時間 10 月 19 日下午更新 PAN-OS 漏洞 CVE-2026-0257 的威脅簡報，寫明勒索軟體集團 Spikey Scorpius（即 Qilin）與 Tarnished Scorpius（即 Inc）持續嘗試利用這個漏洞。CVE-2026-0257 是 PAN-OS 防火牆 GlobalProtect 入口（portal）與閘道（gateway）的認證繞過，攻擊者可以不經授權建立 VPN 連線；Palo Alto 5 月 13 日發布公告與修補，美國網路安全暨基礎設施安全局（CISA）同日把它列入已遭利用漏洞目錄（KEV）。

這次更新描述的攻擊流程：利用漏洞取得立足點、繞過多因素驗證建立 VPN 連線，接著用兩用的遠端監控管理（RMM）工具在內網偵察，經 RDP 與 SMB 橫向移動，最後布置竊取帳密、外傳資料與部署勒索軟體的工具。Unit 42 寫到一個案例，攻擊者從被入侵的 VPN 閘道轉到 vCenter 管理主機，關掉 ESXi 主機的 execInstalledOnly 防護，再用自製工具直接對網域控制站的虛擬磁碟（VMDK）離線取出帳密，虛擬機裡的端點偵測（EDR）看不到這一段；也有攻擊者接著利用 Veeam 備份伺服器漏洞 CVE-2023-27532。Unit 42 說相關調查從 6 月初持續到現在，涉及教育、金融、醫療、製造、政府等 11 個產業；另有公開報告把利用行為連到使用 Settra 勒索軟體的集團，簡報只寫「知悉」這份報告。

原廠公告寫明，只有 GlobalProtect 入口或閘道勾選「驗證覆寫 cookie」（Authentication Override）且存在特定憑證設定時才受影響，Cloud NGFW 與 Panorama 不受影響，CVSS 4.0 評分 7.8。修補版本依分支是 12.1.7、11.2.12、11.1.15、10.2.18-h6 或以上，各分支另有 hotfix，例如 11.1.4-h33、10.2.7-h34；升級後 GlobalProtect 使用者要重新登入一次。暫時不能升級的，可以為驗證覆寫 cookie 另發專用憑證，或取消勾選驗證覆寫。原廠公告的利用狀態仍寫「有限的利用嘗試」，時間軸最後一筆停在 6 月 3 日，這次勒索集團的資訊只出現在 Unit 42 簡報。

簡報列出 9 個 IP 位址，屬於 5 月 29 日概念驗證程式公開之前的活動，另有 2 個 MAC 位址與 3 個裝置名稱，要在 GlobalProtect 日誌裡找成功的 gateway-connected 紀錄；概念驗證程式公開之後，則找作業系統版本寫「Microsoft Windows 10 Pro 64-bit」且使用者網域欄位空白的連線。Unit 42 建議比對到任何一筆就啟動事件應變。

原文 Unit 42：Threat Brief: Active Exploitation of PAN-OS CVE-2026-0257（2026-10-19 更新），勒索集團名稱、攻擊流程、vCenter 案例、產業別與入侵指標取自該文；Palo Alto Networks 安全公告 CVE-2026-0257，受影響條件、CVSS、修補版本、暫時緩解方式與公告時間軸取自該頁。