Falha crítica no Palo Alto GlobalProtect está sendo explorada ativamente

A falha CVE-2026-0257 no Palo Alto GlobalProtect não é só mais uma vulnerabilidade de autenticação: ela explora um erro de arquitetura de segurança repetido em infraestruturas críticas, a reutilização indevida de certificados criptográficos entre componentes distintos. Quando o mesmo certificado usado para HTTPS do portal GlobalProtect também serve para assinar cookies de substituição de autenticação, um atacante consegue extrair sua chave pública e forjar credenciais válidas sem precisar quebrar a criptografia. Isso transforma uma configuração comum (e até documentada como prática aceitável em ambientes com restrições operacionais) em vetor de entrada direto para redes internas. O risco se agrava porque o acesso não autenticado já entrega atribuição de IP VPN legítimo, ou seja, o invasor entra como usuário autorizado, não como tráfego anômalo.

Isso coloca a falha em um patamar diferente das outras exploradas recentemente: enquanto a CVE-2026-35616 no FortiClient EMS exige manipulação de configurações via API mal protegida, e a falha no WebLogic Server depende de um fluxo específico de requisições, a CVE-2026-0257 opera em camada de criptografia aplicada, e por isso escapa de muitos WAFs e ferramentas de detecção baseadas em comportamento. A CISA classificou-a como crítica (CVSS 9.1), acima da média observada em brechas similares do setor, como as do UniFi OS (CVSS 9.8, mas exigindo rede local) ou do FortiClient (CVSS 7.2).

Na cobertura anterior sobre a falha no FortiClient EMS (2026-06-01), destacamos que ataques estavam sendo feitos via manipulação de scripts batch via túnel VPN, um cenário de execução limitada e visível. Já na CVE-2026-0257, o ataque ocorre *antes* da conexão ser estabelecida: o invasor forja o cookie de autenticação diretamente no handshake HTTP, sem passar por qualquer módulo de controle de sessão. Isso significa que os logs tradicionais de login falhado não aparecem, e a atividade pode ser registrada apenas como 'conexão bem-sucedida', dificultando a detecção em ambientes sem análise de certificados ou inspeção profunda de cookies. Também houve mudança na postura da Palo Alto: o aviso inicial (13/05) indicava gravidade média (CVSS 4.7); em 29/05, após confirmação de exploração em produção, a empresa elevou formalmente a classificação para alta (CVSS 7.8), seguida pela CISA com CVSS 9.1, sinalizando que a ameaça evoluiu de teórica para operacional em menos de duas semanas.

Empresas que adotaram GlobalProtect como camada principal de acesso remoto, especialmente bancos, operadoras e órgãos públicos, têm agora um ponto cego estratégico: o próprio mecanismo de autenticação está comprometido. Corrigir a falha não basta se a arquitetura continuar usando certificados compartilhados entre portal HTTPS e sistema de cookies. A mitigação recomendada (certificado dedicado para cookies) exige revisão de pipelines de CI/CD, rotinas de renovação de certificados e testes de integração, algo que muitas equipes de TI não conseguem fazer em menos de 72 horas. Enquanto isso, o ator de ameaça continua ativo, com padrões de IP consistentes em provedores como Vultr e Dromatics Systems, o que permite bloqueio pontual, mas não elimina o risco de novos vetores. Para arquitetos de nuvem, essa falha reforça que 'zero trust' não começa com políticas, mas com isolamento estrito de chaves criptográficas entre funções.