Palo Alto Networks 威脅情報團隊 Unit 42 於二〇二六年十月十九日更新威脅簡報，指出勒索軟件營運者（包括 Spikey Scorpius，亦稱 Qilin，以及 Tarnished Scorpius，亦稱 Inc）持續嘗試利用 PAN-OS 漏洞 CVE-2026-0257；另有公開報道將相關利用歸因於使用 Settra 勒索軟件的威脅行為者。官方安全公告確認此為 GlobalProtect 入口與閘道的驗證繞過問題，建議緊急度為最高，CVSS 4.0 評分為七點八（高），利用成熟度標示為已遭攻擊。本文已核對 Unit 42 威脅簡報與 Palo Alto Networks 安全公告原文，來源真實性已驗證。

Unit 42／官方：勒索組織利用 PAN-OS CVE-2026-0257——Qilin／Inc 繞過驗證建 VPN；觀察到攻擊直攻 vCenter／ESXi

Palo Alto Networks 於二〇二六年五月十三日公開 CVE-2026-0257，同日將其列入美國網絡與基礎設施安全局（CISA）已知被利用漏洞（KEV）目錄。漏洞影響配置了 GlobalProtect 入口或閘道、並啟用驗證覆寫 Cookie（authentication override cookies）且特定憑證設定存在的防火牆；Panorama 與 Cloud NGFW 不受影響。攻擊者可繞過安全限制並建立未授權 VPN 連線，其後可進一步繞過多重要素驗證（MFA）控制。

十月十九日更新的重點，並非首次披露漏洞本身，而是利用生態已明顯升級：Unit 42 持續觀察到勒索營運者將此漏洞作為企業網絡初始立足點，並在成功連線後展開偵察、橫向移動與勒索部署。對依賴遠端存取與虛擬化基礎架構的香港與亞洲企業而言，這屬於必須立刻對照資產與日誌的營運風險，而非單純的「補丁新聞」。

一、核心事件：驗證繞過如何變成勒索入口

技術細節

CVE-2026-0257 屬於 GlobalProtect 入口與閘道元件的驗證繞過。官方描述指出，弱點類型涉及依賴未經充分驗證與完整性檢查的 Cookie（CWE-565），攻擊複雜度低、無需使用者互動、無需先取得權限。安全公告將建議緊急度標為最高，並標示利用成熟度為「ATTACKED」。

暴露條件並非「所有 PAN-OS 一律中招」：僅在 GlobalProtect 入口或閘道已配置，且啟用「產生／接受驗證覆寫 Cookie」一類選項，並存在特定憑證配置時才受影響。官方建議管理員在入口的 Agent 驗證頁面，以及閘道的 Authentication Override 設定中檢查相關選項。

受影響版本涵蓋多個 PAN-OS 主線（包括 10.2、11.1、11.2、12.1 等分支中低於對應修復版／熱修的版本），以及部分 Prisma Access 版本；Cloud NGFW 無需處理。修復路徑為升級至公告列出的不受影響版本，或採用公告中的緩解措施（例如為驗證覆寫 Cookie 使用專用憑證等）。

二、技術原理與攻擊鏈演進

驗證繞過的直接後果，是攻擊者可在未通過正常驗證流程的情況下啟動 VPN 連線。Unit 42 指出，成功後威脅行為者典型會：

使用雙用途遠端監控與管理（RMM）工具進行內網偵察；
經 RDP 與 SMB 橫向移動；
部署額外工具以採集憑證、外洩資料，最終部署勒索軟件。

十月十九日更新強調一項顯著的戰術演進：攻擊者在取得 VPN 立足點後，可直接轉向虛擬化管理層。Unit 42 舉例，攻擊者曾由被入侵的 VPN 閘道移動至 vCenter 管理裝置，隨後在 ESXi 虛擬化主機上停用安全控制（例如 execInstalledOnly），並以自訂工具對網域控制站虛擬磁碟（VMDK）進行離線憑證傾印。此做法可繞過虛擬機內部的端點偵測與回應（EDR），屬於取得網域級憑證的高階手法。調查亦觀察到攻擊者將初始存取與其他利用工具鏈接，例如針對 Veeam 備份基礎架構的 CVE-2023-27532。

Unit 42 自二〇二六年六月初起持續調查，涉及教育、金融、醫療、高科技、政府、公用事業等多個行業。早期（概念驗證公開前，約五月二十九日之前）活動可對照簡報列出的特定來源 IP；概念驗證公開後，則應在 GlobalProtect 日誌中搜尋可疑主機識別碼／裝置名稱，以及概念驗證程式碼中硬編碼的客戶端設定特徵（例如特定 endpoint_os_version 與空的網域欄位）。

三、日常應用場景

1. 開發者與技術團隊

維運與資安工程應立即盤點對外暴露的 GlobalProtect 入口／閘道，確認是否啟用驗證覆寫 Cookie，並對照官方版本表升級。日誌狩獵應涵蓋成功 gateway-connected 事件、異常裝置名稱與簡報指標。虛擬化與備份團隊需同步檢查 vCenter／ESXi 與 Veeam 暴露面，避免「VPN 已補、虛擬化層仍空」的斷層。

2. 企業與隱私敏感行業

金融、醫療、法律與政府機構若以 GlobalProtect 作為遠端辦公入口，驗證繞過等同於把「外網到內網」的守門員暫時拆掉。勒索營運者後續的 MFA 繞過、憑證傾印與虛擬化層攻擊，直接威脅客戶資料與營運持續性。應啟動事件應變劇本：隔離可疑連線、輪替相關憑證與金鑰、驗證備份完整性。

3. 一般用戶

一般員工未必直接管理防火牆，但應留意公司發出的遠端存取變更通知，避免在未授權裝置上保存 VPN 設定或覆寫 Cookie。若收到異常登入或裝置提示，應立即向資訊部門回報。

4. 香港與亞洲市場視角

香港企業廣泛採用次世代防火牆與全球遠端存取方案；亞洲時區的勒索活動往往在非辦公時段加速。CISA KEV 列入已逾數月，但十月更新顯示勒索組織仍將此漏洞作為常規初始存取手段，並升級到虛擬化層。本地團隊應把「已排程補丁」改為「已驗證修復＋已完成日誌狩獵」的完成定義，並與托管服務或資安夥伴對齊對外暴露資產清單。

四、專業評價與潛在考量

優勢

Unit 42 與官方安全公告提供可操作的指標、版本表與產品防護對照，利於防衛團隊落地。
漏洞條件相對明確（GlobalProtect＋驗證覆寫 Cookie），可快速縮小優先修復範圍。
對虛擬化層與備份鏈的觀察，提醒防護不能停在 VPN 邊界。

需要留意的地方

漏洞本身並非十月新發現；讀者應聚焦「勒索組織持續利用＋TTPs 升級」，避免誤判為全新零日而忽略既有未修資產。
僅有少數探測會成功建立 VPN 連線，但一旦成功，後續影響可達網域與虛擬化層；「探測多、成功少」並不代表可延後處理。
緩解與升級需按環境驗證，錯誤停用必要功能可能影響遠端辦公；應依公告步驟與變更管理執行。

結語

CVE-2026-0257 提醒企業：邊界 VPN 的驗證邏輯一旦被繞過，攻擊者可以很快走到身分、虛擬化與備份核心。Unit 42 十月十九日更新把威脅從「已知被利用」推進到「勒索營運者常規化利用，並示範直攻 vCenter／ESXi」的層級。香港與亞洲的營運團隊應立刻完成版本對照、日誌狩獵與虛擬化層檢查。

若企業需要把雲端遷移、零信任遠端存取與網絡安全一併加固，可參考 YSK Limited 的雲端遷移與網絡安全服務（官網刊百分之九十九點九九 SLA）：https://ysk.hk/services/cloud-security

參考來源

Unit 42 威脅簡報（2026-10-19 更新）：https://unit42.paloaltonetworks.com/active-exploitation-of-pan-os-cve-2026-0257/
Palo Alto Networks 安全公告 CVE-2026-0257：https://security.paloaltonetworks.com/CVE-2026-0257