Le ransomware Qilin exploite une faille VPN Palo Alto. Ce que ça change pour vous.

Encore une passerelle VPN d’entreprise, encore un gang de ransomware qui entre par la porte d’entrée. Arctic Wolf Labs a publié le 20 juillet 2026 une recherche détaillant des intrusions survenues tout au long de juin, remontant à CVE-2026-0257, un contournement d’authentification critique dans le VPN GlobalProtect de Palo Alto Networks, aboutissant au déploiement du ransomware Qilin sur les réseaux des victimes.

Si le schéma paraît familier, c’est parce qu’il l’est. C’est au moins la troisième faille majeure de passerelle VPN d’entreprise cette année qui finit en charge utile ransomware, après des incidents touchant Check Point et SonicWall. Autant être précis sur ce qui a cassé, qui est touché, et si ça dit quoi que ce soit sur le VPN que vous utilisez pour regarder Netflix.

Ce que fait vraiment CVE-2026-0257

La faille se situe dans certaines configurations de GlobalProtect où les cookies de dérogation d’authentification sont activés. Selon le rapport de BleepingComputer, elle permet à un attaquant d’établir une session VPN non autorisée sans identifiants valides, contournant carrément l’étape de connexion sous ces configurations précises.

Palo Alto Networks a corrigé le problème sous-jacent le 13 mai 2026. Rapid7 a observé une exploitation large dès le 17 mai, quatre jours plus tard. La CISA a ajouté la faille à son catalogue des vulnérabilités activement exploitées le 29 mai, ce qui impose un délai de correction aux agences fédérales américaines. Le rapport d’Arctic Wolf du 20 juillet décrit des intrusions précisément durant le mois de juin utilisant cet accès pour déployer Qilin, ce qui signifie que des attaquants exploitaient activement la faille pendant des semaines après l’existence d’un correctif et d’une obligation fédérale.

Qui est derrière

Qilin est l’une des opérations de ransomware-as-a-service les plus actives des deux dernières années, et ses affiliés ont montré à plusieurs reprises une préférence pour l’exploitation d’appareils en périphérie de réseau, pare-feux, passerelles VPN et autre infrastructure exposée sur internet, plutôt que la voie plus classique du phishing employé par employé. Les chercheurs en sécurité décrivent ça comme un calcul efficace pour les attaquants : une seule passerelle non corrigée peut donner un accès direct à tout un réseau d’entreprise, sans qu’un seul employé n’ait besoin de cliquer sur quoi que ce soit.

Les services de surveillance des menaces ont recensé, à différents moments de la fenêtre d’exploitation, bien plus de 100 000 instances GlobalProtect exposées sur internet, offrant aux affiliés de Qilin un vaste bassin de cibles potentielles à scanner.

Chronologie : du correctif à la charge ransomware

Le délai entre “corrigé” et “activement exploité par un ransomware” a été court, et ça vaut la peine de le poser clairement.

Seize jours ont séparé le correctif de l’exploitation à grande échelle. C’est une fenêtre étroite pour qu’une organisation corrige avant que des attaquants ne scannent les instances non corrigées, et c’est un schéma qui se répète sans cesse sur cette catégorie de matériel : les appareils SMA1000 de SonicWall ont connu une chronologie tout aussi compressée plus tôt cette année.

Pourquoi c’est une histoire d’entreprise, pas de VPN grand public

Autant être direct là-dessus, parce que ce genre d’histoire se fait systématiquement aplatir en “les VPN ne sont pas sûrs” dès qu’elle circule. Ce n’est pas le même produit dont on parle.

GlobalProtect est un VPN d’entreprise à accès distant. Les organisations le font tourner comme une passerelle qui accepte des connexions entrantes d’employés en télétravail, et tout son travail consiste à authentifier : décider qui entre dans le réseau de l’entreprise et qui n’entre pas. Quand cette étape échoue, comme le montre CVE-2026-0257, les attaquants se retrouvent dans un réseau plein de serveurs, de données employés, et de tout ce qui vaut la peine d’être chiffré contre rançon.

Un VPN grand public, comme ceux que nous comparons et classons, fonctionne dans le sens inverse. Vous établissez une connexion sortante depuis votre appareil vers le serveur du fournisseur pour chiffrer votre propre trafic vers internet. Il n’y a pas de réseau d’entreprise derrière un VPN grand public, et rien de structurellement similaire pour qu’un ransomware puisse s’y attaquer. On avait fait la même distinction en couvrant le zero-day Check Point exploité par Qilin plus tôt cette année : le sigle est identique, la catégorie de produit et la surface d’attaque ne le sont pas.

Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.

Le vrai schéma à surveiller

Traitez chaque CVE isolée comme moins importante que le schéma d’ensemble : les passerelles VPN et pare-feux d’entreprise sont devenues l’une des catégories d’infrastructure les plus systématiquement ciblées par les affiliés de ransomware, précisément parce qu’elles sont exposées sur internet par conception et donnent un accès profond une fois compromises. C’est la même dynamique de fond que couvre notre article sur pourquoi les passerelles VPN d’entreprise continuent de se faire pirater, et la faille GlobalProtect de Palo Alto n’est que la dernière entrée de ce schéma, pas un événement isolé.

Pour les équipes IT qui font tourner ce type de matériel, la vraie leçon n’est pas “corrigez cette CVE précise” mais plutôt “considérez chaque passerelle VPN exposée sur internet comme une cible active, et corrigez selon le calendrier imposé par la CISA plutôt qu’un planning interne plus lent”. Les organisations qui ont traité l’échéance du 29 mai comme un couperet ferme ont évité les intrusions de juin documentées par Arctic Wolf ; celles qui ne l’ont pas fait, généralement pas.

Ce que les équipes IT qui font tourner GlobalProtect devraient faire maintenant

Si votre organisation fait tourner GlobalProtect et n’a pas confirmé l’application du correctif du 13 mai, c’est la première urgence, avant tout le reste. Au-delà du correctif, l’avis officiel de Palo Alto recommande de vérifier si les cookies de dérogation d’authentification sont activés dans votre configuration, puisque désactiver ce réglage précis retire la condition d’exposition même avant confirmation totale du correctif partout.

Les équipes sécurité devraient aussi traiter toute passerelle GlobalProtect exposée sur internet et non corrigée entre le 17 mai et la date de correctif confirmée comme potentiellement compromise, pas seulement vulnérable, et examiner les journaux de cette fenêtre spécifiquement à la recherche du type d’établissement de session non authentifiée que décrit Arctic Wolf. Vu le schéma documenté de Qilin consistant à utiliser un accès passerelle compromis pour se déplacer latéralement avant de déployer le ransomware, un bilan propre sur la passerelle elle-même n’exclut pas une compromission plus profonde si la fenêtre d’exposition a été assez longue.

Ce que ça change si vous êtes un particulier

Rien ne change à la sécurité du VPN grand public que vous utilisez pour débloquer un service de streaming ou chiffrer votre connexion wifi de café. Rien dans cette vulnérabilité, son exploitation ou la charge utile Qilin ne touche l’infrastructure VPN grand public. Pour comprendre la différence plus large entre ces deux catégories de produits qui partagent un nom, notre explication sur VPN contre architecture zero trust détaille comment la sécurité d’accès distant d’entreprise évolue justement à cause d’incidents comme celui-ci.

Pour mieux comprendre la différence structurelle entre VPN d’entreprise et VPN grand public, voir qui possède vraiment votre VPN.