Palo Alto GlobalProtectが標的に：認証バイパスの脆弱性がCISAのKEVリストに追加
TL;DR
Palo Alto GlobalProtectが標的に：認証バイパスの脆弱性がCISAのKEVリストに追加
Palo Alto Networksは、深刻度の高い認証バイパスの脆弱性「CVE-2026-0257」が、実際に悪用されていることを確認しました。この欠陥は単なる理論上のバグではなく、PAN-OSのGlobalProtectポータルおよびゲートウェイコンポーネントにおける直接的な穴です。攻撃者は認証クッキーを偽造することで、パスワードを必要とせずにVPNの入り口を突破することが可能です。
事態は急速に悪化しています。標的型攻撃の報告が浮上した後、CISA（米サイバーセキュリティ・インフラストラクチャセキュリティ庁）は、この脆弱性を「既知の悪用された脆弱性（KEV）」カタログに追加しました。影響を受けるファイアウォール構成を使用している場合は、これを警告と受け止めてください。不正なネットワークアクセスのリスクは高く、パッチ適用はオプションではなく、境界防御を維持するための唯一の手段です。
侵害のメカニズム
攻撃者はどのようにしてこれを実行するのでしょうか？それは、PAN-OSが「認証オーバーライド（Authentication Override）」クッキーを処理する方法の根本的な弱点に起因します。GlobalProtectポータルまたはゲートウェイでこの特定の機能が有効になっている場合、システムは偽造された入力に対して脆弱になります。
Palo Alto Networksの公式セキュリティアドバイザリーによると、この脆弱性はまさにそのオーバーライドメカニズムがアクティブなときにトリガーされます。これは、誤ったデータを信頼してしまう典型的なケースです。この脆弱性の悪用を観測したRapid7は、2026年5月17日の第1波と、5月21日のより攻撃的な第2波という、2つの明確な攻撃の波を特定しました。これらは単なる調査ではなく、不正なVPNセッションを確立するための成功した試みでした。
業界はこの危険性を認識しています。当初の影響評価は控えめでしたが、CVE-2026-0257の更新されたCVSSv4スコアは現在7.8となっています。これは、悪用が容易で、ユーザーの操作を必要とせず、現実の攻撃者によって現在進行形で使用されているという脅威の現実を反映した高い深刻度評価です。
あなたの環境は露出していますか？
すべてのPAN-OS環境が危険にさらされているわけではありません。この脆弱性は「認証オーバーライド」構成に厳密に関連しています。この機能が有効になっていない場合は安全ですが、念のため設定を確認してください。
危険な状態にあるかどうかを確認するには、PAN-OS管理インターフェースで以下のパスを辿ってください。
- ナビゲーションパス: Network > GlobalProtect > Gateways > Agent > Client Settings
- 対象設定: "Accept cookie for authentication override"
このチェックボックスがオンになっている場合、脆弱性があります。セキュリティチームがUnit 42が追跡している特定の攻撃パターンを理解するために、Palo Altoの詳細な脅威ブリーフィングを一読することをお勧めします。これは、これらのバイパスがいかに迅速に武器化されるかを示す、身の引き締まるような内容です。
パッチ適用と緩和策
修正は簡単ですが、多少の摩擦を伴います。この脆弱性はファイアウォールが暗号化クッキーを処理する方法に根ざしているため、古いサイクルを断ち切って新しいサイクルを開始する必要があります。
| 緩和策 | ユーザーへの影響 |
|---|---|
| セキュリティパッチの適用 | 全ユーザーに対して1回限りの再認証を強制 |
| 認証オーバーライドの無効化 | 脆弱性を排除するが、手動ログインが必要 |
| Prisma Accessの更新 | Palo Alto Networksにより自動管理 |
パッチを適用すると、システムはより堅牢で安全な方法を使用してクッキーを生成し始めます。その直接的な副作用として、アクティブなすべてのGlobalProtectユーザーは切断され、再認証を強制されます。これは確かに煩わしいことですが、必要な措置です。現在出回っている偽造クッキーを無効にする唯一の方法だからです。
Prisma Accessを使用している場合、少し安心できるかもしれません。Palo Altoがクラウド管理インフラストラクチャ全体で対応を行っています。これらの環境は標準のメンテナンススケジュールに従って自動的に更新されるため、ユーザー側で操作する必要はありません。
警戒を怠らないために
この脆弱性が積極的に悪用されているという事実は、エッジデバイスが防御の最前線であり、しばしば最初に標的にされるという厳しい現実を思い出させます。この欠陥は認証なしのアクセスを許可するため、修正するまで攻撃者にとっての機会の窓は大きく開かれています。
セキュリティチームは今すぐVPNログを確認する必要があります。異常な認証パターンはありませんか？奇妙な時間帯や予期しない場所からセッションが確立されていませんか？パターンに合わないものがあれば、直ちに調査してください。
この欠陥がCISAのKEVカタログに正式に掲載されたことで、プレッシャーが高まっています。連邦機関はすでにパッチ適用の期限内にあり、民間組織も遅滞なくそれに続くべきです。規制産業に属していない場合でも、積極的な悪用と高い深刻度評価の組み合わせは、これを優先順位のトップに置く十分な理由となります。
より安全なクッキー生成方法への移行は重要なステップですが、これで終わりではありません。GlobalProtectゲートウェイのログを注意深く監視してください。パッチを適用した後でも、ロックする前に誰かがドアをすり抜けようとした痕跡がないかを確認する必要があります。サイバーセキュリティの世界では、先手を打つことが唯一の生き残り策です。システムを最新の状態に保ち、ログをクリーンに保ち、アラートが表示されていないからといって安全だと決めつけないでください。
