Comment contrer la vulnérabilité d'authentification Palo Alto PAN-OS qui sévit en 2026

Une menace invisible qui se glisse dans vos tunnels VPN

En 2026, plus de 12 % des organisations françaises équipées de GlobalProtect ont relevé des tentatives d’accès non autorisées, selon le rapport annuel de l’ANSSI. Cette statistique surprenante met en lumière la vulnérabilité d’authentification Palo Alto PAN-OS, exploitée par des acteurs malveillants depuis le mois de mai. Vous vous demandez comment une faille dite medium peut laisser passer des intrusions critiques ? Nous détaillons la technique, les preuves de terrain et les actions concrètes pour sécuriser vos déploiements.

Comprendre la vulnérabilité d’authentification Palo Alto PAN-OS

Le mécanisme de l'*

authentication override*

Le authentication override est une fonctionnalité non activée par défaut qui génère des cookies de session pour les utilisateurs déjà authentifiés. Au lieu de demander de nouvelles authentifications, le système se repose sur le cookie encrypté. Le problème se situe lorsque le certificat utilisé pour chiffrer ce cookie est partagé avec le service HTTPS du portail. Le binaire /usr/local/bin/gpsvc déchiffre le cookie sans vérifier la signature, permettant à un attaquant possédant la clé publique du certificat d’en fabriquer un valide.

Description technique de CVE-2026-0257

• Identifiant : CVE-2026-0257
• Date de divulgation : 13 mai 2026 par Palo Alto Networks
• Score CVSS v4 : 6,5 (moyen) - toutefois les équipes de recherche le classent comme critique compte tenu de la facilité d’exploitation.
• Vecteur : réseau, accès non authentifié, élévation de privilèges via cookie forgé.

« Le fait que le processus de décodage ne vérifie aucune signature constitue le cœur de la faille », explique un analyste senior de Rapid7.

Scénarios d’exploitation observés en 2026

Première vague - vultr

Le 17 mai 2026, les premiers indicateurs de compromission sont apparus. Des adresses IP hébergées par le fournisseur Vultr (ex. 104.207.144.154) ont lancé des requêtes de cookies d’authentification vers des comptes administrateur locaux. Le nom de machine GP-CLIENT était utilisé, accompagné d’une adresse MAC usurpée aa:bb:cc:dd:ee:ff.

Deuxième vague - Dromatics Systems

Le 21 mai 2026, une nouvelle campagne a émergé depuis des serveurs Dromatics Systems (ex. 146.19.216.119). Le nom de machine DESKTOP-GP01 a permis d’établir des sessions VPN complètes, offrant un accès direct aux réseaux internes.

Analyse des patterns

• Même MAC usurpée : indique un acteur unique.
• Huit clients sur dix n’ont subi que des requêtes d’authentification, pas de sessions VPN entières, ce qui montre une phase de reconnaissance avant le vol de données.

Évaluation de l’impact et données chiffrées

Selon le rapport de Rapid7 (2026), 71 % des organisations ciblées ont immédiatement détecté une hausse du trafic de connexion VPN inhabituelle. Le même rapport indique que 45 % des incidents ont été résolus en moins de 24 h grâce à une mise à jour rapide.

Mesures de mitigation immédiates

1. Désactiver le authentication override si aucune exigence métier ne le justifie. Cette action supprime la génération de cookies vulnérables.
2. Déployer les versions corrigées – boostez votre productivité avec Microsoft 365 Copilot :
   • PAN-OS 12.1.4-h6, 12.1.7, 11.2.12, 11.1.15, 10.2.18-h6
   • Prisma Access 11.2.7-h13 (ou plus), 10.2.10-h36 (ou plus)
3. Créer un certificat dédié uniquement pour le chiffrement des cookies, en s’assurant qu’il ne soit jamais partagé avec le service HTTPS du portail.
4. Scanner les logs GlobalProtect à la recherche des indicateurs d’infection (voir tableau ci-dessous).
5. Déployer des règles de détection dans le SIEM pour identifier les modèles de requêtes similaires.

« Les équipes qui ont appliqué les correctifs avant le 30 mai 2026 n’ont constaté aucune activité suspecte supplémentaire », résume le responsable de la sécurité d’une grande université française.

Tableau des indicateurs de compromission (IOC)

Guide de mise à jour et bonnes pratiques de configuration

Étape 1 - Vérification de la version actuelle

# Commande pour afficher la version du PAN-OS
show system info | grep "Version"

Si la version figure parmi celles listées précédemment, planifiez immédiatement la mise à jour via le portail de gestion.

Étape 2 - Désactivation du authentication override

configure
set deviceconfig setting authentication-override disable
commit
exit

Cette séquence désactive la génération de cookies d’authentification et évite tout risque lié au partage de certificat.

Étape 3 - Génération d’un certificat dédié

1. Créez une nouvelle paire de clés RSA 2048 bits.
2. Exportez le certificat au format PEM.
3. Associez-le à la fonctionnalité authentication override via l’interface Web ou CLI.

Étape 4 - Surveillance continue

• Intégrer les IOC dans les listes de blocage du firewall.
• Configurer des alertes sur les tentatives de connexion depuis les adresses MAC suspectes.
• Auditer les journaux d’accès VPN chaque semaine pendant le premier trimestre suivant la mise à jour.

Plan d’action pour les équipes de sécurité – Top 12 écoles de cybersécurité à Lille 2026

Priorités à court terme (0-7 jours)

• Appliquer les correctifs listés.
• Désactiver le authentication override quand il n’est pas indispensable.
• Lancer un audit des certificats partagés.

Priorités à moyen terme (8-30 jours)

• Implémenter les règles de détection d’IOT dans le SIEM.
• Former les opérateurs VPN aux pratiques de gestion des certificats.
• Réaliser un test de pénétration ciblé sur le mécanisme GlobalProtect.

Priorités à long terme (31 jours +)

• Intégrer la gestion du cycle de vie des certificats dans la politique de sécurité (ISO 27001, clause A.10.1).
• Mettre en place un processus de revue trimestrielle des versions PAN-OS.
• Participer aux programmes de partage d’informations de l’ANSSI pour rester informé des nouvelles vulnérabilités.

Conclusion - Protégez vos tunnels avant qu’ils ne deviennent des portes dérobées

La vulnérabilité d’authentification Palo Alto PAN-OS illustre comment un détail de configuration peut transformer un pare-feu en point d’entrée. En suivant les mesures présentées - désactivation du authentication override, mise à jour des versions, génération de certificats dédiés et surveillance proactive - vous réduisez considérablement le risque d’exploitation. Agissez dès maintenant : chaque jour de retard augmente la surface d’exposition et la probabilité d’une compromission. Consultez votre catalogue de correctifs, renforcez vos politiques de certification et maintenez vos équipes informées. La cybersécurité n’est efficace que lorsqu’elle se traduit par des actions concrètes, mesurables et continues.