Der Hersteller hatte die Lücke im Mai 2026 gepatcht, die US-Cybersicherheitsbehörde CISA nahm sie am 13. Mai 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf. Laut einer aktualisierten Darstellung der Forscher von Unit 42 vom Montag zählen zu den Ransomware-Betreibern, die CVE-2026-0257 ausnutzen, Spikey Scorpius (auch bekannt als Qilin) und Tarnished Scorpius (auch bekannt als INC). Wenige Tage zuvor hatte ReliaQuest mitgeteilt, sowohl Qilin als auch die Gruppe Settra bei finanziell motivierten Angriffen über die Schwachstelle beobachtet zu haben. Qilins Ausnutzung der Lücke war bereits im Juli 2026 von Arctic Wolf gemeldet worden – mit Angriffen, die von schnellen, reinen Verschlüsselungsaktionen bis zu vollständiger doppelter Erpressung reichten.

Nach dem Aufbau einer VPN-Sitzung gehen die Angreifer laut Unit 42 wie folgt vor:

  • interne Netzwerkaufklärung mit RMM-Werkzeugen, die sowohl legitim als auch missbräuchlich einsetzbar sind
  • seitliche Bewegung im Netz über RDP und SMB
  • Bereitstellung weiterer Werkzeuge zum Abgreifen von Zugangsdaten, zur Datenexfiltration und zum Ausrollen der Ransomware

Als bedeutendste Weiterentwicklung der Taktiken, Techniken und Vorgehensweisen nach erfolgreicher Ausnutzung bezeichnet Unit 42 den direkten Schwenk auf die Virtualisierungsebene. In einem bemerkenswerten Fall bewegten sich die Angreifer vom kompromittierten VPN-Gateway zur vCenter-Management-Appliance. Von dort schalteten sie Sicherheitskontrollen auf ESXi-Hypervisoren ab (execInstalledOnly) und griffen mit einem eigens entwickelten Werkzeug offline Zugangsdaten direkt von der virtuellen Festplatte (VMDK) eines Domänencontrollers ab. Dieses Vorgehen umgeht nach Angaben des Herstellers die im Gastsystem laufende Endpoint Detection and Response sowie weitere Schutzmechanismen und verschafft den Tätern domänenweit gültige Zugangsdaten.

Darüber hinaus wurde beobachtet, dass die Angreifer den initialen Zugang mit weiteren Exploit-Werkzeugen verketten – unter anderem mit Angriffen auf Veeam-Backup-Infrastruktur über die bekannte Schwachstelle CVE-2023-27532, um möglichst großen Schaden anzurichten.

Die Angriffe richteten sich gegen ein breites Branchenspektrum, darunter Bildung, Finanzdienstleistungen, Gesundheitswesen, Hochtechnologie, Gastgewerbe, Fertigung, Beratungs- und Rechtsdienstleistungen, Behörden, Transport und Logistik, Versorger und Energie sowie den Einzelhandel.

Neben dem Einspielen der aktuellen Korrekturen empfiehlt Palo Alto Networks, aktiv nach Kompromittierungsindikatoren zu suchen und bei festgestellten erfolgreichen Gateway-Verbindungsereignissen entsprechende Incident-Response-Prozesse einzuleiten.