قیلن وجروب ان سی رانسوموير يستغلون ثغرة في بالو ألتو نتوورکس لتجاوز المصادقة الثنائية

Black and white piano keys arranged in rows — Zulfugar Karimov / Unsplash

أفادت بالو ألتو نتوورکس أن النشاط مستمر في استغلال ثغرة أمنية مُصلحة تؤثر على نظام تشغيل بالو ألتو (PAN-OS) وخدمات الوصول عن بُعد (Prisma Access) من قِبل مجموعات الفدية. تم تحديد الثغرة تحت رقم CVE-2026-0257، وتُمنح لها درجة خطر (CVSS) تبلغ 7.8، وتُصنّف كثغرة تسمح بالعبور عن المصادقة الثنائية (MFA) لتأسيس اتصالات VPN غير مصرّح بها. تم إصلاح الثغرة في مايو 2026 وأُدرجتها وكالة الأمن السيبراني الأمريكية (CISA) في قائمة الثغرات المستغلة المعروفة (KEV) في 13 مايو 2026.

وقال باحثو وحدة 42 في تحديث نُشر يوم الاثنين إن مجموعات الفدية مثل قیلن (المعروف أيضاً باسم Spikey Scorpius) وانس رانسوموير (المعروف أيضاً باسم Tarnished Scorpius) تستغل هذه الثغرة. تم رصد هذه المجموعات تستهدف مجموعة واسعة من القطاعات بما في ذلك التعليم، الخدمات المالية، الرعاية الصحية، التكنولوجيا العالية، الضيافة، التصنيع، الخدمات القانونية والمهنية، الحكومة، النقل واللوجستيات، الطاقة والمصادر، والتجزئة.

تشير التقارير إلى أن المهاجمين ينتقلون مباشرة إلى طبقة الافتراضية بعد استغلال الثغرة، حيث قاموا بإيقاف الحماية على خوادم ESXi وتطبيق أدوات مخصصة لاستخراج الشهادات من القرص الافتراضي (VMDK) المتعلق بمُتحكم النطاق. هذا الأسلوب يتجنب الكشف داخل الضيوف ويُسهم في الحصول على شهادات نطاقية شاملة.

كما تم ملاحظة استغلال الثغرة مع أدوات أخرى مثل ثغرات في البنية التحتية للنسخ الاحتياطي (CVE-2023-27532) لتعزيز الأضرار. تُوصي بالو ألتو نتوورکس organisations بالبحث عن مؤشرات الاختراق واتخاذ إجراءات استجابة سريعة إذا تم اكتشاف أحداث متعلقة بالبوابة.