麒麟勒索软件利用 PAN-OS 认证绕过漏洞 CVE-2026-0257

熟悉威胁的新立足点

麒麟勒索软件是过去一年追踪到的最高产的勒索软件即服务组织之一，现已找到入侵企业网络的新途径。根据The Hacker News的报道，与麒麟有关的攻击者正利用Palo Alto Networks PAN-OS中的一个身份验证绕过漏洞（编号CVE-2026-0257）获取对受害者环境的初始访问权限。之后，入侵行为以不同方式展开：部分攻击者径直快速加密文件，而另一些则先潜伏窃取数据，建立起已成为麒麟标志性手段的双重勒索模式。

利用防火墙身份验证绕过作为入口点值得注意，因为它瞄准的正是组织原本用来阻止攻击者的基础设施。PAN-OS为各种规模企业的防火墙和VPN网关提供支持，用于控制内部网络访问。当该软件中的漏洞允许攻击者完全跳过身份验证时，企业所依赖的安全边界便实质上无法按预期发挥作用。

攻击链如何展开

根据报道，这些入侵的模式始于利用CVE-2026-0257绕过PAN-OS身份认证控制并建立初始访问。从这一立足点出发，与麒麟关联的攻击者似乎会采用至少两种不同的攻击策略。在某些案例中，该组织迅速部署勒索软件并加密文件，优先考虑速度而非隐蔽性。在别的案例中，攻击者则花时间探索网络并在触发加密前窃取敏感数据，这是一种更慢但危害更大的方式，可支撑双重勒索：要求支付赎金以解锁文件，并防止被盗数据被泄露或出售。

这种灵活性与麒麟在其他行动中的运作方式一致。此前曾观察到该组织加大对中小型企业的攻击力度，常常与争夺相同受害群体资源的其他竞争性勒索软件组织同时活动。麒麟也以规模著称，据报道曾声称单次统计中创纪录的1,358名受害者，这一数字凸显了加密与数据窃取相结合作为网络犯罪分子商业模式的有效性。

为什么防火墙漏洞比以往更重要

网络安全设备中的身份验证绕过漏洞尤其危险，因为它们位于组织基础设施的边缘，这恰恰是防守方期望得到保护而非暴露的所在。与依赖欺骗员工的钓鱼邮件不同，身份验证绕过可被直接针对面向互联网的设备实施利用，无需任何用户交互。这使得防火墙和VPN网关的补丁与配置卫生成为一线防御，而非事后补救。

对于普通用户和注重隐私的读者而言，此事件提醒我们，旨在保护网络流量的工具——包括防火墙和VPN设备——本身也是攻击目标。这一层的漏洞可能破坏其后所有内容的机密性：客户记录、内部通信、财务数据等等。当这些数据随后被用作双重勒索计划中的筹码时，其影响将超越被入侵组织，波及信息存储于这些系统上的每一位客户或合作伙伴。

这对你意味着什么

如果你是运行Palo Alto Networks PAN-OS设备的IT管理员或企业主，这份报告应促使你立即检查补丁状态和管理界面暴露情况。确认你的部署是否受CVE-2026-0257影响，并立即应用任何可用的供应商指导或更新。在可能的情况下，限制管理界面对公共互联网的访问，依然是减少身份验证绕过漏洞被利用的最简单方法之一。

对于依赖PAN-OS基础设施的组织的员工和客户而言，实际要做的就是更多关注，而非直接行动。涉及数据窃取的勒索软件事件往往会在数周或数月后发出通知，因此值得留意与你打交道的公司发布的数据泄露披露，同时在此期间留意不寻常的账户活动。