Vulnérabilité d'authentification Palo Alto PAN-OS : comment les acteurs malveillants contournent les protections et ce que vous devez faire

Une faille critique qui menace vos accès VPN

En 2026, plus de 30 % des organisations françaises utilisant des solutions de pare-feu ont signalé des tentatives d’accès non autorisé via des cookies falsifiés. La vulnérabilité d’authentification Palo Alto PAN-OS (CVE-2026-0257) figure dès le 29 mai 2026 dans le catalogue KEV de la CISA, ce qui témoigne d’une exploitation active en milieu hostile. Dans cet article, nous décortiquons le mécanisme de contournement, nous passons en revue les campagnes observées, et nous vous présentons un plan d’action concret pour sécuriser vos déploiements.

Comprendre la vulnérabilité d’authentification Palo Alto PAN-OS

Origine du CVE-2026-0257

Le 13 mai 2026, Palo Alto Networks a publié un avis de sécurité détaillant la faille CVE-2026-0257. Cette vulnérabilité d’authentification réside dans la fonction authentication override - une option non-active par défaut qui génère des cookies de session pour les utilisateurs déjà authentifiés. Le problème survient lorsque le certificat employé pour chiffrer ces cookies est partagé avec le service HTTPS du portail, sans vérification de signature lors du décodage.

Mécanisme du contournement d’authentification

En pratique, le binaire /usr/local/bin/gpsvc déchiffre les cookies à l’aide de la clé publique du certificat HTTPS. Un attaquant qui capture ce certificat peut reproduire la clé de chiffrement, créer un cookie valide et l’injecter dans le flux d’authentification du GlobalProtect gateway. Cette manipulation donne un accès VPN complet, même sans aucune authentification préalable.

« Le contournement repose sur l’absence de validation cryptographique, ce qui rend la création d’un cookie falsifié triviale pour un acteur disposant du certificat public. »

Analyse des campagnes d’exploitation observées en 2026

Première vague - Vultr

Le 17 mai 2026, les premiers indicateurs de compromission (IoC) ont été relevés par Rapid7. Des adresses IP hébergées chez le fournisseur Vultr (par ex. 104.207.144.154) ont initié des requêtes de cookie d’authentification vers des comptes administrateurs locaux. Les machines compromises utilisaient le nom GP-CLIENT et un MAC address falsifié aa:bb:cc:dd:ee:ff. Les tentatives se sont limitées à la phase de découverte, n’aboutissant pas à l’établissement complet de sessions VPN.

Seconde vague - Dromatics Systems

Le 21 mai 2026, une nouvelle série d’attaques a émergé depuis des IP du fournisseur Dromatics Systems (ex. 146.19.216.119-125). Les acteurs ont employé le nom de machine DESKTOP-GP01 sous Windows, et plusieurs victimes ont reçu des adresses IP VPN réelles, ouvrant ainsi l’accès direct au réseau interne. Le même MAC address falsifié a été observé, indiquant une continuité entre les deux campagnes.

Impacts concrets sur les réseaux d’entreprise

Accès VPN non autorisé

Lorsque le cookie falsifié est accepté, le tunnel GlobalProtect s’établit sans que le serveur d’authentification ne le valide. Les attaquants obtiennent ainsi un accès complet aux segments internes - y compris les systèmes de gestion des identités, les bases de données critiques et les services de messagerie.

Risques de fuite de données

Selon le rapport annuel de l’ANSSI 2025, 28 % des incidents de cybersécurité en France sont liés à des accès VPN non autorisés. La compromission d’un tunnel VPN peut faciliter le vol de secrets industriels, la manipulation de configurations réseau, et l’injection de maliciels sur des postes de travail internes.

Mesures de mitigation immédiates

Désactivation du feature d’authentification override

1. Accédez à l’interface d’administration de PAN-OS.
2. Naviguez vers Device → Setup → Authentication Override.
3. Désactivez la case « Enable authentication override » si aucune politique métier ne l’exige.
4. Enregistrez les modifications et redémarrez le service GlobalProtect.

Mise à jour des versions corrigées

« Le déploiement des correctifs doit être priorisé dès la réception du bulletin de sécurité, faute de quoi les organisations s’exposent à une compromission de leurs tunnels VPN. »

Guide de détection et de chasse aux indicateurs de compromission

Journalisation des cookies GlobalProtect

• Activez le logging détaillé du module gpsvc.
• Conservez les champs Cookie, User, et Source IP pendant au moins 90 jours.
• Corrélez les entrées avec les listes d’IoC suivantes :
  • IP : 104.207.144.154, 146.19.216.119-125
  • MAC : aa:bb:cc:dd:ee:ff
  • Nom de machine : GP-CLIENT, DESKTOP-GP01

Règles de détection SIEM

# Exemple de règle Splunk pour détecter des cookies suspects
index=panos sourcetype=pan:globalprotect
| regex cookie="^.*[A-Za-z0-9+/]{64,}$"
| stats count by src_ip, user, cookie
| where count > 5
| table src_ip, user, cookie, count

Cette requête identifie les adresses IP générant un nombre anormal de cookies de session, ce qui constitue un indicateur de tentative de contournement.

Déploiement d’une posture de résilience à long terme

1. Segmentation du réseau - Isoler les appliances GlobalProtect des services de gestion interne.
2. Rotation régulière des certificats - Utiliser des certificats dédiés uniquement à l’encryptage des cookies, avec une durée de vie maximale de 90 jours.
3. Audit de configuration - Vérifier périodiquement que le paramètre authentication override demeure désactivé sur les nouvelles versions.
4. Formation des équipes SOC - Sensibiliser les analystes aux signatures d’exploitation de CVE-2026-0257 et aux IoC associés.
5. Tests de pénétration ciblés - Inclure des scénarios de forgery de cookies dans les exercices de red-team afin de valider l’efficacité des contrôles.

Conclusion : votre feuille de route pour contrer la vulnérabilité

Face à une menace qui a déjà démontré son efficacité en conditions réelles, il n’existe aucun compromis : désactivez immédiatement la fonctionnalité d’authentification override, appliquez les correctifs listés ci-dessus, et mettez en place une surveillance proactive basée sur les indicateurs de compromission. En suivant ce plan, vous réduirez sensiblement le risque d’accès VPN non autorisé et renforcerez la confiance dans vos infrastructures de sécurité.