Faille GlobalProtect CVE-2026-0257 : session VPN légitime ou pirate? 5 gestes urgents
Des groupes de rançongiciel, dont Qilin et Settra, exploitent la faille GlobalProtect CVE-2026-0257 pour ouvrir des sessions VPN dans des réseaux d’entreprise sans aucun mot de passe. Selon un rapport de la firme ReliaQuest relayé le 11 octobre 2026, les pirates contrefont un témoin (cookie) d’authentification et se connectent par le VPN de la victime elle-même. Leur session ressemble alors à du télétravail ordinaire.
GlobalProtect est le VPN des pare-feu Palo Alto Networks, aussi offert dans Prisma Access. Palo Alto a publié l’avis et les correctifs le 13 mai 2026; les entreprises qui n’ont pas encore mis à jour sont maintenant ciblées.
Qui est touché ?
- Produits : PAN-OS 12.1, 11.2, 11.1 et 10.2, ainsi que Prisma Access 11.2 et 10.2. Panorama et Cloud NGFW ne sont pas touchés.
- Condition : le portail ou la passerelle GlobalProtect utilise les témoins de contournement d’authentification (authentication override) avec une configuration de certificat précise, par exemple un certificat réutilisé. Ce n’est pas le réglage par défaut, mais il est courant pour éviter aux employés de se reconnecter sans cesse.
- Après l’entrée : ReliaQuest a observé des outils comme Cobalt Strike, BloodHound et SharpHound, utilisés pour cartographier le réseau avant le rançongiciel.
Session VPN légitime ou session pirate ? Les signes à surveiller
| Signe | ✅ Session légitime | 🚩 Session pirate possible |
|---|---|---|
| Nom de l’appareil | Un poste connu de l’entreprise (ex. PORTABLE-COMPTA-02) | Un nom inconnu ou générique, par exemple « kali » (outil courant des pirates) |
| Ouverture de session | Une authentification réussie, avec MFA, visible dans les journaux | Une session VPN sans authentification correspondante dans les journaux |
| Heure et provenance | Heures et régions habituelles de l’employé | Heure inhabituelle, pays ou fournisseur Internet inattendu |
| Ce qui se passe ensuite | Courriel, fichiers partagés, logiciels métier habituels | Balayage du réseau, interrogation massive d’Active Directory, outils d’administration à distance |
| Volume de données | Normal pour le poste occupé | Gros transferts sortants ou accès à des serveurs jamais utilisés par cet employé |
Un seul de ces signes ne prouve rien (un nom « kali » est une piste d’enquête, pas une preuve). C’est la combinaison qui doit alerter.
Faille GlobalProtect : 5 gestes urgents
Vérifier si vous êtes touché, puis corriger
La faille touche les portails et passerelles GlobalProtect où les témoins (cookies) de contournement d’authentification sont activés avec une configuration de certificat précise. Appliquez la mise à jour de PAN-OS sur tous les portails et passerelles, internes et externes.
Fermer toutes les sessions VPN actives
Après la mise à jour, mettez fin à toutes les sessions en cours : une session ouverte par un pirate avant le correctif peut rester active. Les utilisateurs devront se reconnecter une fois.
Désactiver le contournement d’authentification ou changer de certificat
Si vous n’avez pas besoin de cette fonction, désactivez-la. Sinon, utilisez un nouveau certificat réservé uniquement à ces témoins, jamais celui du portail.
Restreindre l’accès au portail et exiger la MFA
Si vous ne pouvez pas corriger tout de suite, limitez le portail VPN aux adresses IP de confiance et exigez l’authentification multifacteur pour chaque connexion.
Examiner les sessions VPN depuis mai 2026
Cherchez les signes du tableau ci-dessus : appareils inconnus, sessions sans authentification, activité réseau inhabituelle. Au moindre doute, traitez-le comme un incident.
🔍 Pourquoi la détection comportementale compte ici
Avec la faille GlobalProtect, le pirate n’a ni mot de passe volé ni logiciel malveillant à l’entrée : il utilise votre propre VPN. L’antivirus et la politique de mots de passe ne voient rien. Ce qui le trahit, c’est son comportement : un appareil jamais vu, une connexion à 3 h du matin, puis un balayage du réseau.
Pour le repérer à temps, il faut connaître ce qui est normal chez vous et être alerté quand ça change. C’est le rôle d’une surveillance automatisée 24/7 avec intervention du technicien de garde, qui relie les journaux du VPN, du pare-feu et des postes.
Le VPN et le pare-feu sont devenus la porte d’entrée favorite des pirates, comme l’ont montré la faille SonicWall SMA1000 et FortiBleed chez Fortinet. Voyez notre service de surveillance cyber et nos services de cybersécurité.
Réservez votre Bilan cyber gratuit
Votre VPN est-il à jour, et sauriez-vous repérer une session pirate ? Notre Bilan cyber gratuit vérifie vos accès à distance, votre pare-feu et vos journaux, et vous remet un plan clair, sans jargon.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- Palo Alto Networks — CVE-2026-0257 PAN-OS: GlobalProtect Authentication Bypass Vulnerabilities (en anglais)
- Cyber Security News — Ransomware Actors Exploiting Palo Alto GlobalProtect Flaw for Stealthy VPN Access (ReliaQuest) (en anglais)
- Rapid7 — Observed Exploitation of PAN-OS GlobalProtect Authentication Bypass (CVE-2026-0257) (en anglais)
- CyberStack — GlobalProtect auth bypass CVE-2026-0257: Qilin and Settra now use it for VPN access (Oct 11, 2026) (en anglais)
Photo : cottonbro studio, Pexels (licence Pexels).
One thought on “Faille GlobalProtect CVE-2026-0257 : session VPN légitime ou pirate? 5 gestes urgents”