OPDATERET: (PATCH ER HER NU) Bruger din virksomhed Palo Alto-firewall? Flere ransomwaregrupper angriber kritisk sikkerhedshul i PAN-OS
Her til aften den 23.10. udsendte Palo-Alto en Patch. Der skal opdateres straks.
Virksomheder, der anvender firewalls fra Palo Alto Networks, bør omgående kontrollere deres installationer for tegn på uautoriseret adgang. Flere kendte ransomware grupper udnytter en alvorlig sårbarhed i PAN-OS, der kan give angribere adgang til virksomheders interne netværk gennem VPN-forbindelser. Sårbarheden har været kendt siden maj 2026, men nye oplysninger viser, at den fortsat anvendes i målrettede cyberangreb. Sikkerhedseksperter anbefaler derfor både øjeblikkelig opdatering af berørte systemer og en undersøgelse af, om virksomhedens netværk allerede er blevet kompromitteret.
Ransomwaregrupper udnytter sikkerhedshul i udbredte firewalls
En række internationalt aktive hackergrupper har intensiveret deres udnyttelse af sikkerhedssårbarheden CVE-2026-0257 i Palo Alto Networks’ PAN-OS-operativsystem. Sårbarheden rammer bestemte konfigurationer af virksomhedens GlobalProtect VPN-løsning, som anvendes til sikker fjernadgang til virksomheders interne IT-systemer.
Det skriver Computerworld, The Register og Palo Alto Networks’ sikkerhedsenhed Unit 42, som har undersøgt konkrete angreb mod organisationer inden for blandt andet finans, sundhed, transport, energi, industri, detailhandel og offentlige myndigheder.
Palo Alto Networks offentliggjorde den oprindelige sikkerhedsmeddelelse den 13. maj 2026, men Unit 42 har efterfølgende dokumenteret, at flere ransomwaregrupper forsøger at udnytte sårbarheden. I en opdatering fra den 19. oktober 2026 nævnes grupperne Qilin og Inc samt offentlige rapporter om angreb, der forbindes med Settra-ransomware.
Der er ikke offentliggjort et samlet antal kompromitterede virksomheder, og der foreligger heller ikke verificerede tal for, hvor mange danske organisationer der er blevet ramt.
Hackerne kan omgå VPN-sikkerhed og multifaktorgodkendelse
Den tekniske fejl findes i GlobalProtects behandling af autentificeringscookies. Under bestemte konfigurationsforhold kan en uvedkommende etablere en VPN-forbindelse uden at gennemføre den normale adgangskontrol.
Sårbarheden er registreret under CVE-2026-0257 og har en alvorlighedsgrad på 7,8 efter CVSS 4.0. Palo Alto Networks betegner behovet for sikkerhedsopdatering som højeste prioritet, fordi fejlen aktivt forsøges udnyttet.
Problemet er særligt alvorligt, fordi sikkerhedsbruddet kan gøre det muligt at omgå multifaktorgodkendelse, der ellers skal beskytte mod adgang med stjålne brugernavne og adgangskoder. Dermed kan angriberen i visse tilfælde få adgang til et virksomhedsnetværk uden at skulle gennemføre en almindelig MFA-godkendelse.
Sårbarheden påvirker ikke nødvendigvis alle installationer af PAN-OS. Ifølge producenten kræver udnyttelse, at GlobalProtect er konfigureret med bestemte indstillinger for authentication override cookies og certifikathåndtering.
Angrebene kan føre til tyveri af adgangskoder og ransomware
Unit 42 har dokumenteret, hvordan angreb kan udvikle sig fra uautoriseret VPN-adgang til omfattende kompromittering af virksomhedens IT-infrastruktur.
Efter etablering af adgang foretager angriberne typisk en kortlægning af interne servere, netværksforbindelser og administrative rettigheder. De anvender blandt andet fjernadministrationsværktøjer og eksisterende Windows-funktioner til at bevæge sig videre mellem systemerne.
Herefter forsøger angriberne at indsamle legitimationsoplysninger, herunder adgangskoder og andre autentificeringsdata, som kan give adgang til yderligere systemer. I flere undersøgte angrebsforløb har formålet været at forberede datatyveri og installation af ransomware.
Unit 42 beskriver også et særligt alvorligt tilfælde, hvor angriberne bevægede sig fra den kompromitterede VPN-adgang til virksomhedens VMware vCenter-miljø. Herfra blev sikkerhedsfunktioner på ESXi-hypervisorer deaktiveret, og et specialudviklet værktøj blev anvendt til at udtrække legitimationsoplysninger fra en domænecontrollers virtuelle disk.
Denne angrebsmetode er alvorlig, fordi traditionelle sikkerhedsprogrammer installeret inde i de virtuelle servere ikke nødvendigvis registrerer manipulationer, der foretages direkte på virtualiseringslaget.
Hvilke versioner af PAN-OS er berørt?
Palo Alto Networks har offentliggjort opdateringer til de berørte PAN-OS-versioner. Nedenstående tabel viser udvalgte opdaterede versioner, som producenten angiver som beskyttede mod CVE-2026-0257.
| PAN-OS-version | Rettet version | Status |
|---|---|---|
| PAN-OS 12.1 | 12.1.7 | Sikkerhedsrettelse tilgængelig |
| PAN-OS 11.2 | 11.2.12 | Sikkerhedsrettelse tilgængelig |
| PAN-OS 11.1 | 11.1.15 | Sikkerhedsrettelse tilgængelig |
| PAN-OS 10.2 | 10.2.18-h6 | Sikkerhedsrettelse tilgængelig |
Der findes desuden sikkerhedsrettede hotfix-versioner til flere tidligere underudgaver. Virksomheder bør derfor kontrollere den konkrete installerede version og ikke alene hovedversionsnummeret.
Palo Alto Networks understreger, at GlobalProtect-portaler og gateways, som anvender authentication override cookies, skal opdateres koordineret for at undgå problemer med kompatibiliteten mellem autentificeringscookies.
Producentens officielle oversigt findes her:
security.paloaltonetworks.com
Virksomheder bør undersøge, om de allerede er blevet kompromitteret
En almindelig sikkerhedsopdatering kan forhindre fremtidig udnyttelse af sårbarheden, men fjerner ikke nødvendigvis følgerne af et angreb, der allerede har fundet sted.
Derfor bør virksomheder, som har anvendt en sårbar version af PAN-OS, undersøge deres VPN- og sikkerhedslogs for mistænkelige forbindelser tilbage fra maj 2026.
Undersøgelsen bør som minimum omfatte:
- Versionskontrol: Fastslå præcis hvilken PAN-OS-version der er installeret, og om den pågældende GlobalProtect-konfiguration er sårbar.
- VPN-logs: Undersøg uventede VPN-sessioner, usædvanlige IP-adresser og forbindelser, der ikke kan knyttes til legitim brugeraktivitet.
- Autentificering: Kontroller, om VPN-forbindelser er etableret uden forventet multifaktorgodkendelse.
- Adgangsoplysninger: Undersøg tegn på kompromitterede administrative konti, ændrede adgangsrettigheder og forsøg på indsamling af legitimationsoplysninger.
- Intern netværkstrafik: Kontroller usædvanlig brug af RDP, SMB og fjernadministrationsværktøjer mellem servere.
- Virtualisering: Gennemgå aktiviteter i VMware vCenter og ESXi, herunder administrative ændringer og adgang til virtuelle diske.
- Backupmiljø: Undersøg, om backupservere og gendannelsessystemer er blevet tilgået eller manipuleret.
Palo Alto Networks har offentliggjort tekniske angrebsindikatorer og yderligere oplysninger om angrebsmetoderne i Unit 42’s sikkerhedsrapport:
unit42.paloaltonetworks.com
Virksomheder kan midlertidigt begrænse risikoen
Hvis en sikkerhedsopdatering ikke kan installeres øjeblikkeligt, beskriver Palo Alto Networks to muligheder for at reducere risikoen.
Den ene mulighed er at deaktivere authentication override i GlobalProtect, så autentificeringscookies ikke længere kan anvendes til at omgå den sædvanlige godkendelsesproces.
Den anden er at anvende et særskilt certifikat udelukkende til authentication override cookies. Certifikatet må ikke samtidig anvendes som portalcertifikat, gatewaycertifikat eller til andre funktioner.
Disse foranstaltninger skal implementeres efter en konkret vurdering af virksomhedens VPN-konfiguration. De erstatter ikke nødvendigheden af at installere de relevante sikkerhedsopdateringer.
Det er væsentligt at understrege, at en konstateret softwaremæssig sårbarhed ikke i sig selv nødvendigvis indebærer en anmeldelsespligtig sikkerhedshændelse. Anmeldelsespligten afhænger blandt andet af, om der faktisk er sket et sikkerhedsbrud, hvilke oplysninger eller systemer der er påvirket, og hvilke risici hændelsen medfører.
Palo Alto Networks anbefaler øjeblikkelig handling
På baggrund af de dokumenterede angreb bør virksomheder med GlobalProtect og PAN-OS gennemføre en konkret sikkerhedsvurdering. Der bør især fokuseres på de systemer, som har været interneteksponerede, og hvor de sårbare autentificeringsindstillinger har været aktiveret.
Selv virksomheder, der allerede har installeret sikkerhedsrettelsen, bør undersøge, om der tidligere har været uautoriseret adgang. En opdateret firewall er ikke i sig selv dokumentation for, at virksomhedens øvrige netværk er kompromisfrit.
Unit 42’s seneste oplysninger viser, at angriberne ikke alene forsøger at skaffe VPN-adgang, men også søger mod centrale infrastruktursystemer, herunder virtualisering og backup. Det gør sårbarheden til et relevant spørgsmål for både virksomhedens IT-ledelse, direktion og eventuelle sikkerhedsansvarlige.
For berørte virksomheder er det derfor nødvendigt at kombinere softwareopdatering, loganalyse, kontrol af adgangsrettigheder og en vurdering af eventuelle anmeldelsesforpligtelser.
Kilde: Palo Alto Networks Security Advisories og Palo Alto Networks Unit 42, ICARE.DK, Jesper Christiansen.
Fotokredit: Palo Alto Networks
Personer/Firmaer/Emner/#: #PaloAltoNetworks, #PANOS, #GlobalProtect, #Firewall, #Cyberangreb, #Cybersikkerhed, #Ransomware, #Qilin, #IncRansomware, #Settra, #Unit42, #CVE20260257, #VPN, #MFA, #Hackerangreb, #ITsikkerhed, #Databeskyttelse, #Virksomhedssikkerhed, #ICAREDK
Copyrights: Ⓒ 2026 Copyright by ICARE.DK
