Palo Alto Networks、エンタープライズVPNゲートウェイの脆弱性が悪用され緊急パッチを公開

Palo Alto Networks、エンタープライズVPNゲートウェイの脆弱性が悪用され緊急パッチを公開

Palo Alto NetworksのVPNを利用しているなら、今すぐ作業を止めてログを確認してください。同社は、認証バイパスの深刻な脆弱性「CVE-2026-0257」が、もはや理論上の脅威ではなく、実際に悪用されていることを確認しました。

これは単なる定期的なアップデートではありません。この脆弱性は、PAN-OSおよびPrisma Access内のGlobalProtectポータルとゲートウェイの設定に影響を及ぼします。簡単に言えば、攻撃者が有効なパスワードを必要とせずに、企業の内部ネットワークに侵入する方法を見つけているということです。

2026年5月13日にこの脆弱性が初めて表面化した際、CVSSスコアは7.8と評価されました。当初は「中程度の深刻度」の問題と思われていましたが、実際に悪用されているとの報告が届いたことで状況は一変しました。現在、連邦機関から独立したセキュリティ研究者に至るまで、誰もが警鐘を鳴らしています。攻撃者は認証クッキーを偽造し、正当な従業員になりすます方法を編み出しました。一度侵入してしまえば、彼らはネットワーク内で「幽霊」のように活動します。

侵害のメカニズム

攻撃者はどのようにこれを行っているのでしょうか？この脆弱性は、GlobalProtectゲートウェイが認証オーバーライドクッキーを処理する方法に存在します。これらのクッキーが有効で、証明書の設定が特定の方法で行われている場合、システムはセッションが正当かどうかを確認し忘れてしまうのです。

これは「玄関の鍵が開けっ放し」になっているような古典的なシナリオです。セッション・トークンを操作することで、攻撃者はなりすましているユーザーと全く同じ権限を得ます。もし権限の高い管理者のセッションを乗っ取れば、ネットワークの全権を掌握できてしまいます。

このタイムラインは非常に過酷です。Rapid7の研究者は、5月17日の時点で実際に悪用を試みる動きを検知しました。最初の勧告から最初の攻撃の波が来るまでの期間はごくわずかでした。多くのITチームにとって、「パッチ適用サイクル」は今や時間との戦いとなっています。

2026年5月29日、米サイバーセキュリティ・インフラセキュリティ庁（CISA）がこの欠陥を「悪用が確認された脆弱性（KEV）」カタログに追加したことで、事態はさらに深刻化しました。CISAがこのような措置を講じることは、連邦機関や民間企業に対し、脅威が現実的かつ現在進行形であり、危険であるという強力な警告となります。

リスクの現実

もし自社が標的になっているか不安な場合は、GlobalProtectの設定を確認してください。この脆弱性は、特に認証オーバーライド機能を使用している環境を標的にしています。証明書やオーバーライドの設定がベンダーのセキュリティ要件と一致していない場合、非常に危険な状態です。Palo Alto NetworksはCVE-2026-0257に関する公式セキュリティ勧告を公開しており、管理者は必読です。

CVSSスコアが「中」だからといって油断しないでください。このエクスプロイトは偽造クッキーに依存しているため、標準的な境界防御では検知できない可能性があります。攻撃者がゲートウェイの設定詳細を知っていれば、すでに半分は侵入に成功しているようなものです。この扉を閉ざす唯一の方法は、ベンダーが提供するパッチを適用することです。近道はありません。

今すぐすべきこと

業界のコンセンサスは明確です。これを緊急事態として扱ってください。The Hacker Newsが指摘したように、攻撃者にとっての参入障壁は驚くほど低くなっています。これは、企業ネットワーク内に静かで永続的な足場を築こうとする者にとって、非常に価値の高い標的です。

Rapid7の脅威インテリジェンスチームは、これらの攻撃がVPN層をバイパスして横展開（ラテラルムーブメント）やデータ窃取を容易にすることを目的としていると指摘しています。一度侵入されると、最初の防御線であるはずのVPNが逆に弱点となってしまいます。

The Registerが正しく指摘したように、このバグは「注意が必要な勧告」から「総力戦の緊急事態」へと格上げされました。

直ちに実行すべきアクションプラン:

• 設定の監査: GlobalProtectポータルとゲートウェイの設定を確認してください。認証オーバーライドクッキーは有効になっていますか？もしそうなら、すぐに対処が必要です。
• バージョンの確認: 現在のPAN-OSおよびPrisma Accessのバージョンを、ベンダーの要件と照らし合わせてください。
• 即時パッチ適用: 次のメンテナンスウィンドウを待ってはいけません。今すぐアップデートを適用してください。
• ログのレビュー: VPNログに異常がないか精査してください。典型的なユーザー行動と一致しないセッション活動、特に予期しない地域や認識できないデバイスからのログインを探してください。
• 最新情報の把握: Palo Alto Networksの公式セキュリティポータルを常に確認してください。状況は急速に変化しており、新しい情報が入り次第ガイダンスが更新されています。

これは流動的な状況です。エクスプロイトは正当なユーザーを模倣するため、「悪意のある」トラフィックを探すだけでは不十分です。異常なトラフィックを探す必要があります。従業員が新しい都市からログインしましたか？セッションが通常とは異なる時間継続していませんか？

このバグがCISAのKEVカタログに追加されたことは、これが単なる孤立した事件ではないことを裏付けています。これはトレンドです。Palo Alto Networksは顧客の保護に尽力していますが、最終的な対応は各組織で行う必要があります。まだゲートウェイの設定を監査していない場合は、今日中に実行してください。先手を打つための時間は刻一刻と過ぎ去っており、攻撃者は手を緩めていません。