El 19 d'octubre del 2026, Unit 42 va actualitzar el seu informe sobre l'explotació de la CVE-2026-0257 amb un paràgraf que va passar força desapercebut entre els titulars de «el ransomware entra pel VPN». Diu que, en un dels casos, els atacants van saltar del concentrador compromès a vCenter, van desactivar una protecció dels hosts ESXi i van fer servir una eina pròpia per bolcar credencials contra el disc virtual del controlador de domini. L'agent que vigilava aquella màquina no tenia res a explicar: a dins no hi va haver de passar res.
Ens dediquem a operar infraestructura aliena, així que llegim aquests informes buscant la part que canvia el que farem dilluns. Aquí la part que canvia no és la vulnerabilitat del tallafoc —aquesta es pedaça— sinó la segona meitat de la cadena, on l'atac surt del sistema operatiu i es fica en una capa on, senzillament, no hi ha cap agent instal·lat. I convé dir una cosa incòmoda abans de continuar: allò que van desactivar no ho van trencar. Ho van apagar amb una ordre que el fabricant documenta al seu web.
La cadena, en ordre
La porta d'entrada és la CVE-2026-0257, que l'avís oficial descriu en plural —«authentication bypass vulnerabilities in the GlobalProtect portal and gateway» de PAN-OS— i que permet a l'atacant «bypass security restrictions and establish an unauthorized VPN connection». Puntuació base 7,8 en CVSS 4.0, severitat alta, urgència suggerida la màxima. L'avís es va publicar el 13 de maig del 2026 i es va actualitzar per última vegada el 3 de juny. No afecta qualsevol desplegament: cal tenir activa la funció d'authentication override cookies amb una configuració de certificat concreta, i per això les solucions temporals que va publicar el fabricant són fer servir un certificat dedicat per a aquelles galetes o desactivar l'opció.
El calendari de després mereix llegir-se d'una tirada, perquè és el titular de debò. CISA el va incloure al seu catàleg de vulnerabilitats explotades conegudes el 29 de maig amb data límit de correcció l'1 de juny: tres dies. Unit 42 va observar intents d'explotació activa des del 5 de juny. Arctic Wolf va investigar diverses intrusions diferents durant el juny que van acabar totes en ransomware Qilin. I l'informe que comentem aquí és d'octubre. Cinc mesos amb pedaç disponible, i el forat encara era rendible.
El que van fer a dins al juny, segons Arctic Wolf, és de manual i és sorollós: sessions de VPN obertes des d'equips que s'identificaven amb el nom de màquina kali, bolcat de LSASS amb rundll32.exe C:\Windows\System32\comsvcs.dll, MiniDump, extracció de ntds.dit amb ntdsutil.exe pel mètode IFM, moviment lateral amb PsExec sobre recursos administratius, exfiltració amb Rclone cap a MEGA i el xifrador win.exe deixat a C:\PerfLogs\. Cadascuna d'aquestes línies és una cosa que un agent d'EDR pot veure, i que un registre guarda. És el guió que ja vam explicar quan DeadLock apaga l'antivirus abans de xifrar: cal barallar-se amb el que hi ha dins de la màquina.
El cas d'octubre no es baralla amb res d'això. Ho esquiva. I hi ha un detall d'honestedat que convé marcar: l'informe d'Arctic Wolf del juliol no esmenta el salt a l'hipervisor. Això apareix a l'actualització d'Unit 42, referit a un cas. No és un patró consolidat encara; és una tècnica que ja va funcionar una vegada contra algú real.
«Van desactivar la protecció» és generós
La protecció en qüestió es diu execInstalledOnly i fa una sola cosa: que el VMkernel executi únicament binaris empaquetats i signats com a part d'un VIB vàlid. És, literalment, la casella antiransomware de l'hipervisor. I la pàgina que explica com treure-la és del fabricant, es titula «Deactivate the execInstalledOnly Internal Runtime Option» i cap en una línia:
esxcli system settings advanced set -o /User/execInstalledOnly -i 0
La mateixa pàgina avisa de les dues conseqüències: «When you deactivate the execInstalledOnly internal runtime option, vCenter Server warnings appear for the host» i «Deactivating the execInstalledOnly internal runtime option leaves you more vulnerable to attacks». Ningú no va trencar criptografia aquí. Algú que ja manava al host va fer servir l'interruptor que ve de sèrie. El que va fallar va ser una capa abans: que hi arribés a manar.
Hi ha dos execInstalledOnly, i el que tens és el fluix
Aquesta és la part que no hem vist explicada en cap cobertura de la notícia, i és la que decideix si l'ordre de dalt t'hauria funcionat a tu. No hi ha un execInstalledOnly: n'hi ha dos, amb el mateix nom i propietats oposades. La documentació de vSphere 8.0 els separa així:
| Opció interna d'execució | Opció d'arrencada del kernel | |
|---|---|---|
| Què és | ajust avançat /User/execInstalledOnly, afegit a ESXi 8.0 | opció d'arrencada del VMkernel |
| Per defecte | activada | desactivada |
| Es consulta | només si la de kernel està desactivada | mana sobre l'altra |
| Canviar-la | en calent, un esxcli | exigeix reiniciar el host |
| Requisit previ | cap | UEFI secure boot |
La frase exacta del fabricant és aquesta: «The execInstalledOnly boot option continues to be deactivated by default, except a previously enabled execInstalledOnly boot option overwrites the internal runtime option if you set both». I per activar la d'arrencada hi ha un peatge que gairebé ningú no ha pagat: «the secure boot enforcement must be activated before you can enforce the execInstalledOnly boot option in the sealing policy». Traduït a conseqüències: si el teu host és un ESXi 8.x d'instal·lació neta, tens la primera columna. I la primera columna val exactament el que valgui la contrasenya de root d'aquell host, perquè s'apaga en calent i sense reiniciar res.
Dues ordres per saber en quina de les dues columnes ets. Cap no modifica res:
esxcli system settings advanced list -o /User/execInstalledOnly
esxcli system settings kernel list -o execInstalledOnly
I activat tampoc no atura un script
Hi ha un article de suport del mateix fabricant, titulat «execInstalledOnly Not Preventing Script Execution on ESXi», que ho deixa per escrit: la funció «is designed to prevent the execution of unsigned binaries, but it does not prevent the execution of scripts run through interpreters like Python». I remata: «there is no built-in method in ESXi 7.0 to prevent the execution of unsigned scripts run through interpreters», limitació que l'article estén fins a les versions 8.x incloses.
Això no converteix el control en inútil i no direm que ho sigui: apuja el cost de l'operació, obliga a portar un intèrpret o a apanyar-se amb el que hi hagi, i deixa rastre. Però situa bé l'expectativa. Bloqueja el binari, no l'eina. Un atacant amb el host a la mà i un intèrpret disponible no necessita tocar aquell interruptor per a res —i si el va tocar va ser, probablement, per comoditat—.
L'avís que ja t'estaven donant
Quan aquella opció s'apaga, el host ho diu amb aquestes paraules exactes: «ExecInstalledOnly has been disabled. This allows the execution of non-installed binaries on the host. Unknown content can cause malware attacks similar to Ransomware.»
És a dir: el senyal existia. Estava escrit, en anglès clar, i anomena el ransomware. El problema és el que ve després, i és al mateix article de suport, que enumera per què un host pot aparèixer així: perquè algú el va desactivar a mà, perquè el va desactivar una utilitat d'actualització de microprogramari, o perquè es va quedar desactivat a la primera inicialització després d'una actualització a 8.x.
Aquí hi ha el nus. Un host que vas actualitzar al març i un host que et van prendre fa una hora produeixen exactament la mateixa línia. Un senyal ambigu que ningú no classifica no és un senyal: és soroll amb format d'avís. I resoldre aquella ambigüitat no ho fa un producte —no hi ha res a instal·lar que sàpiga qui va apagar què—; ho fa algú de guàrdia que pugui respondre dues preguntes, quan es va apagar i qui estava connectat aleshores. Això és torn, no llicència.
El mapa de cobertura, capa per capa
Aquesta taula és la nostra lectura de la cadena, no una citació. Posa en una columna el que sol vigilar cada capa i en l'altra el que aquest atac hi va deixar:
| Capa | Qui la mira | Què hi va deixar aquest atac |
|---|---|---|
| Controlador de domini | agent EDR, auditoria d'AD | res |
| Concentrador VPN | registres del tallafoc | sessió VPN sense autenticar |
| vCenter | gairebé ningú, a les 3 de la matinada | l'avís d'execInstalledOnly |
| Host ESXi | ningú: no hi ha agent a instal·lar | shell oberta, binari no instal·lat |
| Emmagatzematge | la cabina, si algú llegeix els seus esdeveniments | un disc virtual llegit des de fora |
La primera fila és la que ven la resta de l'article. Un EDR ben posat al controlador de domini és una peça seriosa i no diem que sobri: cobreix el que passa dins d'aquella màquina, que és gairebé tot. El que no cobreix —perquè no pot— és que el seu disc es llegeixi des d'una capa per sota del sistema operatiu on viu l'agent. És el mateix raonament que explicàvem amb el xifrador que només toca el 10 % de cada VMDK: des de l'hipervisor, les teves màquines virtuals són fitxers.
I no, això no és un problema de VMware. Ho diem perquè la temptació comercial seria aquesta i seria mentida: en un Proxmox, el root d'un node llegeix igual de bé el disc del mateix controlador de domini, sigui un qcow2 o un volum RBD. La superfície exposada no és el producte, és el pla de gestió. Canvia la marca i l'argument no es mou.
Sis preguntes per a aquesta tarda
Totes es responen amb un sí, un no o un número. Cap no necessita comprar res:
- 1.La xarxa de gestió de l'hipervisor és abastable des del rang que reparteix el concentrador VPN? Si la resposta és sí, la cadena d'aquest post t'aplica sencera.
- 2.Quants comptes poden entrar a vCenter com a administrador, i quants s'autentiquen contra el mateix Active Directory que viu dins d'aquell vCenter? El bucle és el risc, i està documentat per Mandiant.
- 3.Què retorna
esxcli system settings kernel list -o execInstalledOnlyals teus hosts? La de kernel, no la d'execució. Si no la tens, no tens la bona. - 4.On acaba una alarma de vCenter un diumenge a les tres de la matinada, i quants minuts passen fins que una persona l'obre? Un número, no una intenció.
- 5.Els esdeveniments de vCenter i dels hosts es guarden fora del propi clúster? Si viuen a dins, qui es queda el clúster es queda també el relat del que hi va fer.
- 6.Quan es va rotar per última vegada la contrasenya de root dels hosts, i quantes persones la tenen avui? Dues dates i un número, i ja saps quant val la teva primera columna.
La pregunta 4 és la que més vegades hem vist quedar sense resposta, i és l'única que no s'arregla amb una tarda de feina. Les altres cinc sí.
A everyWAN muntem EDR i MDR gestionats, i precisament per això diem el que no fan: a la capa de l'hipervisor no hi ha agent a instal·lar, així que allà el que cobreix és el torn, els esdeveniments trets fora del clúster i algú que es prengui seriosament un avís ambigu a deshora. L'altra cosa que ajuda de debò és tractar el pla de gestió amb el criteri de Zero Trust: xarxa a part, comptes que no depenguin del que estan protegint, i root rotat amb data.
Fonts (verificades el 07-11-2026): descripció, CVSS 7,8 (CVSS 4.0), versions afectades, dates de publicació (13-05-2026) i última actualització (03-06-2026), condició prèvia d'authentication override cookies i solucions temporals — avís oficial de Palo Alto Networks sobre la CVE-2026-0257; salt del concentrador VPN a vCenter, desactivació d'execInstalledOnly i bolcat de credencials contra el VMDK del controlador de domini, a més de la cronologia d'explotació i els grups implicats — Unit 42, «Active Exploitation of May 2026 PAN-OS CVE-2026-0257» (secció «Update: Oct. 19, 2026»; última actualització de l'informe, 26-10-2026); intrusions del juny, nom de màquina kali, MiniDump d'LSASS, ntdsutil, PsExec, Rclone i win.exe a PerfLogs — Arctic Wolf Labs, «Cookie Crumbles»; alta al catàleg KEV el 29-05-2026 amb data límit 01-06-2026 — CISA Known Exploited Vulnerabilities Catalog; ordre de desactivació, estat per defecte de les dues opcions i avisos a vCenter — Broadcom TechDocs, «Deactivate the execInstalledOnly Internal Runtime Option»; dependència de l'arrencada segura per a l'opció de kernel — Broadcom TechDocs, «Securing the ESXi Configuration»; límit amb intèrprets — KB 373898, «execInstalledOnly Not Preventing Script Execution on ESXi»; text exacte de l'avís i les seves tres causes — KB 401376; riscos d'integrar vSphere amb Active Directory — Google Cloud Threat Intelligence (Mandiant). La taula de les dues opcions, el mapa de cobertura i les sis preguntes són elaboració nostra. Fotografia: cabina d'emmagatzematge HP EVA4400, CC BY-SA 3.0 via Wikimedia Commons, retallada per nosaltres.
Saps què passa amb una alarma del teu vCenter a les tres de la matinada?
Revisem la cobertura capa per capa, diem on no arriba el teu agent i qui mira el que queda. Amb els teus hosts i els teus registres, no amb una presentació.
Parlar amb everyWAN
Microsoft 365
ES 
CAT 
EN