Alguém entrou na VPN sem credenciais. Não precisou de senha, não precisou de segundo fator — forjou um cookie de autenticação e a VPN aceitou. O CVE-2026-0257 no PAN-OS GlobalProtect da Palo Alto faz exatamente isso: bypass de autenticação com CVSS 9.1, CISA KEV com prazo de 1º de junho, e exploração ativa desde 17 de maio. Na Tech86, vemos isso como o que realmente é — quando a VPN aceita cookies forjados, o perímetro não está protegendo.
O bug: authentication override cookies viraram porta aberta
O GlobalProtect suporta authentication override cookies — um mecanismo de reautenticação que permite que usuários reconectem sem novo login quando o cookie é válido. Em tese, é conveniência. Na prática, virou o vetor de entrada.
A vulnerabilidade permite que um atacante não autenticado forge o cookie e estabeleça conexão VPN direta à rede interna. Sem credenciais. Sem MFA. Sem interação do usuário. O atacante entra pela VPN como se fosse um funcionário legítimo — o perímetro está completamente bypassado.
A configuração vulnerável é específica, mas não rara: Cloud Auth desabilitado + auth override cookies habilitados + certificado de cookie encryption compartilhado com HTTPS. Quando os três estão presentes, o appliance aceita o cookie forjado. Se o seu ambiente tem esse perfil, o patch é urgente.
A exploração: dados reais da Rapid7 MDR
Isso não é teoria. A Rapid7 MDR detectou a primeira onda de exploração em 18 de maio, no ambiente de um cliente na Vultr. O hostname do dispositivo comprometido: "GP-CLIENT". MAC address spoofado: aa:bb:cc:dd:ee:ff. Três dias depois, em 21 de maio, uma segunda onda atingiu outro cliente, na Dromatics. Hostname: "DESKTOP-GP01". Mesmo MAC — mesmo ator.
Os números são reveladores: em 8 de cada 10 clientes analisados, o cookie forjado foi aceito sem sequer atribuir um IP VPN. Em 2 de cada 10, o atacante obteve acesso completo à rede interna. A diferença entre os dois cenários depende da configuração específica do gateway — mas em ambos, o perímetro foi violado.
O padrão de exploração é consistente: o atacante forja o cookie, conecta ao GlobalProtect, e se a configuração permite, navega pela rede interna como um funcionário autenticado. Não há brute force, não há phishing, não há engenharia social. É um bypass direto e silencioso.
A discrepância: "medium" não é medium
A Palo Alto classificou a vulnerabilidade como "medium". O argumento: requer configuração específica. A Rapid7 discordou publicamente, e nós concordamos com a Rapid7.
Auth bypass em uma VPN internet-facing que coloca atacantes dentro da rede interna não é medium. É crítico. O fato de depender de uma configuração específica não reduz a severidade — reduz o número de alvos, mas não o impacto em quem é afetado. Vendor classificar como "medium" uma vulnerabilidade que dá acesso não autenticado à rede interna é um problema de comunicação, não de severidade.
O precedente é recente e grave: CVE-2024-3400, CVSS 10.0, mesma superfície GlobalProtect, explorado por state-sponsored actors em horas. A Palo Alto VPN é um dos appliances mais visados do mercado. A janela entre disclosure e exploração ativa é medida em horas, não dias.
O que fazer agora
O stopgap é claro: desabilite auth override cookies ou gere um certificado dedicado para cookie encryption que não seja compartilhado com HTTPS. Essas mitigações reduzem a superfície imediatamente, mas não substituem o patch. PAN-OS atualizado em todas as branches, sem exceção.
A Rapid7 publicou um script PoC no GitHub. Use para testar seus appliances. Se o cookie forjado é aceito, o appliance está vulnerável — independentemente do que o vendor classifica.
Monitore logs ativamente. Os indicadores de comprometimento documentados são hostnames "GP-CLIENT" e "DESKTOP-GP01" e o MAC address aa:bb:cc:dd:ee:ff. Se qualquer um aparece nos seus logs, a rede interna já foi acessada. Não é tentativa — é comprometimento confirmado.
A lição: VPN é perímetro
VPN é o perímetro. Quando aceita cookies forjados, a rede fica exposta. Essa vulnerabilidade reforça o que defendemos na Tech86: confiança não deve ser delegada a um único controle de perímetro. Arquiteturas zero-trust verificam identidade em cada acesso, não apenas na porta de entrada.
Se alguém entra na sua VPN sem credenciais, o perímetro não está protegendo. Se o vendor classifica isso como "medium", o problema é de comunicação — não de severidade. Auditamos perímetro e desenhamos arquiteturas zero-trust porque a realidade dos ataques não espera classificação do vendor.