MFA e VPN: ransomware explora falha da Palo Alto Networks

Muita empresa acha que, com autenticação multifator (MFA) na VPN, o acesso remoto está protegido. Um aviso publicado em 20 de outubro de 2026 mostra o outro lado: uma falha no próprio equipamento de VPN pode contornar o MFA. Este texto resume o que foi relatado e o que vale revisar, mesmo que a sua empresa não use esse fabricante.

O que foi relatado

A Unit 42, equipe de inteligência de ameaças da Palo Alto Networks, informou em seu aviso de 20/10/2026 que os grupos de ransomware Qilin e INC estão explorando a falha CVE-2026-0257, do GlobalProtect (a VPN do PAN-OS), para obter o primeiro acesso à rede da vítima. Segundo o aviso, os atacantes contornam controles de MFA para estabelecer uma sessão de VPN.

O boletim oficial da Palo Alto Networks, de 13 de maio de 2026, descreve a falha como um contorno de autenticação no portal e no gateway do GlobalProtect, de gravidade alta (CVSS 7.8). A correção existe desde maio, com versões corrigidas listadas no boletim. Ou seja, o ataque atinge quem ainda não atualizou, cinco meses depois. O The Hacker News também cobriu o caso.

O que acontece depois do acesso

Segundo a Unit 42, depois de entrar, os invasores:

fazem reconhecimento interno com ferramentas de gerenciamento remoto de uso duplo;
se movimentam lateralmente por RDP e SMB;
preparam ferramentas para roubo de credenciais, extração de dados e ransomware;
em um caso, saltaram do VPN para o vCenter, desativaram controles em hosts ESXi e extraíram credenciais de um controlador de domínio fora do sistema da máquina virtual, o que, segundo o aviso, contorna a proteção instalada dentro dela;
em alguns ataques, encadearam uma falha antiga do Veeam (CVE-2023-27532), software de backup.

Entre os setores citados estão saúde, serviços financeiros, educação, indústria, varejo, transporte e serviços profissionais e jurídicos.

O que isso significa: o MFA não é o problema

Seria um erro concluir que "MFA não adianta". O que o caso mostra é que o MFA depende do equipamento que o aplica. Se o equipamento de borda tem uma falha que pula a verificação, a proteção some. Por isso a defesa precisa de camadas:

Atualizar equipamentos de borda (VPN, firewall, gateways) com disciplina. É a medida mais barata e a que esse caso mais cobra.
Manter o MFA em todos os acessos remotos e contas de administrador.
Procurar sinais de acesso indevido depois de atualizar. A Unit 42 recomenda buscar proativamente os indicadores e acionar resposta a incidentes se houver conexões suspeitas, porque atualizar não desfaz um acesso já obtido.
Restringir a interface de gerenciamento do equipamento. A Unit 42 recomenda verificar a exposição das portas 4443 e 3879 e limitar o acesso.
Detecção e resposta nos servidores e estações, para enxergar movimentação lateral e uso de ferramentas de gerenciamento. Veja como funciona em EDR e XDR e em MDR.
Proteger também hipervisores, controladores de domínio e backups. O caso do vCenter e do Veeam mostra que esses são alvos diretos, e que proteger só o sistema operacional não basta.

Perguntas para fazer à sua TI ou ao seu fornecedor

Quais equipamentos da empresa ficam expostos à internet (VPN, firewall, acesso remoto)?
Qual a versão de cada um e quando foi a última atualização?
Alguém acompanha os avisos de segurança desses fabricantes?
Há alerta para conexões de VPN fora do padrão (horário, país, usuário)?
O backup fica isolado, com acesso protegido, e a restauração foi testada?

Para o passo a passo geral, veja como proteger a empresa de ransomware e o panorama de setembro de 2026.

Precisa de ajuda para revisar sua proteção?

A Codlinx, Parceira Oficial Bitdefender, ajuda empresas em todo o Brasil a revisar a proteção de servidores e estações, a implantar detecção e resposta e a organizar um plano para incidentes. O atendimento é de segunda a sexta, das 8h às 20h, com retorno em até 24 horas úteis. Peça um diagnóstico gratuito.

Perguntas frequentes

O que é a CVE-2026-0257?

Segundo o boletim da Palo Alto Networks, é uma falha de contorno de autenticação (authentication bypass) no portal e no gateway GlobalProtect do PAN-OS, que permite estabelecer uma conexão VPN não autorizada. O boletim foi publicado em 13/05/2026, classifica a gravidade como alta (CVSS 7.8) e traz as versões corrigidas.

Isso quer dizer que o MFA não funciona?

Não. O MFA continua sendo uma das defesas mais importantes. O problema, segundo a Unit 42, é que a falha no equipamento de VPN permitiu contornar os controles de MFA daquele acesso. Ou seja, o MFA depende de o equipamento que o aplica estar corrigido. Por isso a recomendação é manter o MFA e também atualizar o equipamento de borda.

Quem está explorando a falha?

A Unit 42 atribui a exploração aos grupos que chama de Spikey Scorpius (também conhecido como Qilin) e Tarnished Scorpius (também conhecido como INC). O aviso também cita relatos públicos da ReliaQuest sobre o ransomware Settra, que são uma atribuição externa.

A falha já tem correção?

Sim. O boletim da Palo Alto Networks lista versões corrigidas do PAN-OS e do Prisma Access desde maio de 2026. A exploração continua contra equipamentos que não foram atualizados, o que mostra o custo de adiar a correção.

Minha empresa não usa Palo Alto. Isso me afeta?

A falha específica só afeta os produtos citados no boletim. A lição, porém, vale para qualquer VPN ou firewall: equipamentos de borda desatualizados são porta de entrada frequente, e o MFA só protege se o equipamento estiver corrigido. Vale levantar quais equipamentos da empresa ficam expostos à internet e se estão atualizados.

O que fazer depois de atualizar o equipamento?

A Unit 42 recomenda aplicar a correção ou a mitigação e também procurar proativamente sinais de comprometimento, e acionar resposta a incidentes se houver conexões suspeitas. Atualizar não remove um acesso que o invasor já tenha conseguido antes da correção.

O EDR resolve esse tipo de ataque?

Nenhuma ferramenta resolve sozinha. A Unit 42 relata um caso em que os invasores foram do VPN ao vCenter e extraíram credenciais de um controlador de domínio fora do sistema operacional da máquina virtual, o que contorna a proteção instalada dentro dela. A defesa precisa de camadas: atualização, MFA, detecção e resposta, proteção dos servidores, dos hipervisores e dos backups, e monitoramento.