Bug Kritis GlobalProtect Dieksploitasi Qilin untuk Serangan Ransomware
Kelompok ransomware Qilin kini mengeksploitasi celah kritis pada Palo Alto Networks PAN-OS GlobalProtect untuk menembus jaringan korban dan melanjutkan serangan hingga tahap enkripsi domain-wide.
Kerentanan yang dilacak sebagai CVE-2026-0257 ini merupakan bug authentication bypass pada portal dan gateway GlobalProtect. Jika berhasil dieksploitasi, penyerang dapat melewati pembatasan keamanan dan membuat koneksi VPN tidak sah ke lingkungan target.
Palo Alto Networks telah merilis perbaikan untuk CVE-2026-0257 pada 13 Mei 2026 dan sebelumnya memperingatkan adanya upaya eksploitasi terbatas terhadap perangkat PAN-OS yang belum ditambal atau belum menerapkan mitigasi. Aktivitas eksploitasi terhadap celah ini juga sudah masuk katalog Known Exploited Vulnerabilities milik CISA pada 29 Mei 2026.
Temuan terbaru dari Arctic Wolf Labs menunjukkan bahwa eksploitasi CVE-2026-0257 tidak berhenti pada akses awal. Dalam beberapa insiden yang diselidiki sepanjang Juni 2026, penyerang menggunakan celah tersebut sebagai initial access vector terhadap appliance firewall Palo Alto Networks, lalu bergerak menuju penyebaran ransomware Qilin.
Arctic Wolf menyebut pola pasca-eksploitasi berbeda antar-insiden. Sebagian serangan berlangsung cepat dan berfokus pada enkripsi, sementara kasus lain menunjukkan pola double extortion. Variasi ini mengindikasikan kemungkinan adanya beberapa afiliasi yang memanfaatkan exploit yang sama di bawah model ransomware-as-a-service Qilin.
Perusahaan keamanan tersebut menilai dengan keyakinan sedang bahwa intrusi yang memanfaatkan CVE-2026-0257 dan berujung pada deployment Qilin kemungkinan masih berlangsung. Penilaian ini didukung oleh aktivitas scanning luas serta kecenderungan model RaaS untuk menyebarkan exploit yang terbukti berhasil kepada beberapa afiliasi.
CISA juga menandai CVE-2026-0257 sebagai celah yang dieksploitasi dalam kampanye ransomware. Langkah ini memperkuat urgensi bagi organisasi yang menjalankan GlobalProtect untuk segera memastikan perangkat PAN-OS telah diperbarui atau setidaknya dilindungi mitigasi yang sesuai.
Risiko permukaan serangan cukup besar. Data pemantauan internet menunjukkan lebih dari 167.000 instance GlobalProtect VPN terlihat online, sementara pencarian fingerprint lain menemukan lebih dari 172.000 alamat IP terkait GlobalProtect. Angka tersebut tidak otomatis berarti seluruh instance rentan, karena sebagian bisa berupa honeypot atau perangkat yang sudah ditambal.
Qilin sendiri merupakan operasi ransomware-as-a-service yang muncul pada Agustus 2022 dengan nama awal Agenda. Sejak itu, kelompok ini mengklaim lebih dari 2.000 korban melalui situs kebocoran dark web mereka, termasuk organisasi besar di sektor otomotif, manufaktur, layanan kesehatan, media, dan lembaga publik.
Produk Palo Alto Networks digunakan luas oleh organisasi enterprise global, termasuk lembaga keuangan besar dan perusahaan Fortune 10. Karena itu, eksploitasi terhadap GlobalProtect menjadi perhatian serius, terutama bagi organisasi yang masih mengekspos portal VPN ke internet tanpa patch terbaru.
Administrator disarankan segera memverifikasi versi PAN-OS yang digunakan, menerapkan pembaruan keamanan, meninjau log autentikasi GlobalProtect, dan mencari aktivitas lateral movement atau indikasi akses VPN tidak sah yang terjadi sejak periode eksploitasi mulai dilaporkan.
Sumber: Cookie Crumbles: How Exploitation of CVE-2026-0257 Leads to Qilin Ransomware
