防火墙本是企业的安全门户，如今却频繁成为攻击者的突破口。安全厂商Arctic Wolf Labs近日披露，勒索软件即服务（RaaS）组织Qilin（又名Agenda）在多起入侵事件中，利用Palo Alto Networks PAN-OS的高危认证绕过漏洞CVE-2026-0257（CVSS评分7.8）作为初始入侵手段，进而在受害企业网络内部署勒索软件实施双重勒索。该漏洞已由厂商发布补丁修复，但大量未及时更新的设备仍处于风险之中。
【一】攻击路径解析：从VPN未授权接入到全域加密
该漏洞存在于PAN-OS软件的Portal和Gateway组件，在特定证书配置下启用认证覆盖Cookie时，未经认证的远程攻击者可绕过认证直接建立SSL VPN会话。攻击者得手后的典型操作链条包括：
① 利用漏洞建立VPN会话，获得内网立足点；
② 实施凭证窃取，并通过Windows管理共享（配合PsExec工具）进行横向移动；
③ 部署密码保护的勒索载荷，运行前先清除事件日志、关闭Microsoft Defender实时防护，以规避检测；
④ 视勒索意图实施全域加密或窃取数据后上传至云存储，进行双重勒索。
值得注意的是，不同受害者的后续攻击手法存在明显差异，表明该组织旗下多个攻击团伙共享初始访问基础设施，各自主导后续勒索行动。
【二】边界设备为何频成"软肋"
近年来，SonicWall、Fortinet、Palo Alto等厂商的边界安全设备漏洞接连被勒索组织武器化，原因在于：设备直接暴露于互联网、版本更新滞后、管理员口令与VPN配置长期不审计。防火墙"只建不维护"，反而会成为攻击者最便捷的入口。
【三】企业防护建议
① 立即核查边界设备版本，及时安装厂商安全补丁；
② 审计VPN账户与认证配置，启用多因素认证（MFA）；
③ 限制管理口访问来源，避免管理界面暴露公网；
④ 部署终端检测与响应（EDR）能力，防范载荷落地与横向移动；
⑤ 定期演练备份恢复，确保勒索事件发生后业务可快速恢复。
昊群可为企业客户提供安全漏洞预警、补丁管理、边界设备安全加固及终端安全防护等一站式服务，依托主流安全厂商产品线，帮助企业构建从网络边界到终端的纵深防御体系。如您的网络中部署有VPN网关、防火墙等边界设备，欢迎联系昊群进行安全体检与加固评估。
信息来源：Arctic Wolf Labs、The Cyber Post（2026年9月报道）
