Palo Alto Networks、エンタープライズVPNゲートウェイの脆弱性が悪用され緊急パッチを公開
TL;DR
Palo Alto Networks、エンタープライズVPNゲートウェイの脆弱性が悪用され緊急パッチを公開
Palo Alto NetworksのGlobalProtect VPNを使用している場合、今すぐ作業を中断してパッチの適用状況を確認してください。今すぐです。
Palo Alto Networksは、CVE-2026-0257として追跡されている深刻な認証バイパスの脆弱性が、攻撃者によって積極的に悪用されていることを正式に認めました。これは理論上の「もしも」の話ではなく、実際に発生している事態です。この欠陥により、認証されていないリモートの攻撃者が有効なセッションクッキーを偽造し、GlobalProtectポータルおよびゲートウェイを介して社内ネットワークへのアクセス権を奪取することが可能になります。
事態は急速に悪化しました。2026年5月29日、米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性を「悪用が確認された脆弱性（KEV）」カタログに追加しました。これは、脅威が深刻かつ広範囲に及んでいることを明確に示しています。セキュリティ研究者とベンダーは口を揃えて「直ちにパッチを適用せよ」と警告しています。このエクスプロイトは非常に単純で、5月中旬から実際に悪用が確認されています。
深刻度への急速な転落
この脆弱性が2026年5月13日に初めて浮上した際、その深刻度は「中」と分類されていました。しかし、その評価は長くは続きませんでした。Rapid7などの企業が5月17日という早い段階で積極的な悪用試行を記録し始めると、Palo Alto Networksは評価を「緊急（Critical）」に引き上げざるを得なくなりました。
このバグは、特定の証明書構成と組み合わせて「認証オーバーライド（authentication override）」クッキーが有効になっているファイアウォールを標的にしています。これは、単純さがセキュリティの敵であるという典型的な例です。このエクスプロイトは、アプライアンス自体が公開しているTLS証明書を利用して認証クッキーを偽造するため、攻撃者はログインページを回避するのに高度な技術を必要としません。一度侵入されると、VPNゲートウェイは最も機密性の高い内部環境への横展開（ラテラルムーブメント）を許す広大な入り口となってしまいます。
問題の範囲
これは特定のPAN-OSバージョンに限定されたものではなく、GlobalProtect VPN構成を使用しているすべてのユーザーにとって広範なリスクとなります。複数の脅威クラスターがパッチ未適用のデバイスをスキャンしており、これを格好の標的として扱っています。これらの攻撃者の長期的な目的はまだ解明中ですが、差し迫った現実は、境界防御の完全な崩壊です。
状況の詳細は以下の通りです。
| 属性 | 詳細 |
|---|---|
| CVE識別子 | CVE-2026-0257 |
| 脆弱性の種類 | 認証バイパス |
| 影響を受けるコンポーネント | GlobalProtect ポータル/ゲートウェイ |
| 悪用状況 | 積極的（確認済み） |
| CISA KEV追加日 | 2026年5月29日 |
緩和策：今すぐすべきこと
数週間後のメンテナンスウィンドウを待ってはいけません。Palo Alto Networks セキュリティアドバイザリポータルにアクセスし、お使いのバージョンに対応する特定のパッチを見つけてください。
併せて、境界を保護するために以下の手順を実行してください。
- 設定の監査: GlobalProtectの設定を確認してください。「認証オーバーライド」クッキーは有効になっていますか？不要であれば無効にしてください。
- パッチ、パッチ、パッチ: Palo Alto Networks サポートポータルから最新のアップデートを入手してください。
- ログの監視: VPNゲートウェイのログを注意深く監視してください。通常のユーザーとは異なる認証パターン、特に標準的なフローを回避しているようなセッション要求がないか確認してください。
- 最新情報の入手: Palo Alto Networks RSSフィードを購読してください。これらのアラートをリアルタイムで受信する必要があります。
不審な点を見つけた場合は、ベンダーのバグ報奨金プログラムを通じて責任ある開示を行ってください。これが、発見した内容を確実に適切な担当者に届ける最善の方法です。
エンタープライズ防御の新たな現実
CVE-2026-0257の深刻度の変化は、脅威アクターがいかに迅速に行動するかを痛感させるものです。彼らはもはや複雑で多段階のエクスプロイトを必要としません。このバグは単一のHTTPリクエストだけで実行できるため、参入障壁は事実上存在しません。そのため、パッチが未適用のファイアウォールは、スクリプトとインターネット接続さえあれば誰でも攻撃できる非常に魅力的な標的となります。
証拠によれば、これは単一の悪意ある攻撃者によるものではなく、複数の脅威グループの標準的なツールキットにこの脆弱性が組み込まれています。リモートアクセスをVPNゲートウェイに依存している限り、その認証プロセスの整合性が、攻撃者と貴社のデータの間に立つ唯一の防壁となります。
Palo Alto Networksは、技術的な詳細と緩和策に関するライブフィードをセキュリティレポートポータルで公開しています。頻繁に確認してください。状況は流動的であり、昨日の前提ではなく最新のインテリジェンスに基づいて防御態勢を整える必要があります。
これまでのところ、「認証オーバーライド」を無効にしているシステムが危険にさらされているという証拠はありません。それは良いニュースです。しかし、まだPAN-OS環境の監査を行っていない場合は、今日中に実施してください。攻撃者がクッキーを偽造して侵入するのを待っているようなレガシー設定が残っている可能性があります。
CISAによる警告と積極的な悪用の確認を受け、躊躇している余裕はありません。ITおよびセキュリティチームは緊急の対応が必要です。ソフトウェアにパッチを適用し、設定を強化し、ログを監視し続けてください。脅威の状況は、あなたが追いつくのを待ってはくれません。今回の場合、対応が遅れる代償はあまりにも大きすぎます。警戒を怠らないでください。週が進むにつれて、この件に関するさらなる更新情報が出てくる可能性が高いです。
