Palo Alto VPN脆弱性が実際の攻撃で悪用、緊急パッチ適用が急務
Palo Alto NetworksのVPN製品に存在する認証バイパス脆弱性が、実際に攻撃者によって悪用されていることが確認された。緊急的なパッチ適用が求められている。
企業向けネットワークセキュリティ大手のPalo Alto Networksが提供するVPN製品「GlobalProtect」に存在する認証バイパスの脆弱性が、攻撃者によって実際に悪用されていることが明らかになった。セキュリティ企業Rapid7の調査で判明したもので、当初「中程度」とされていた脅威レベルは引き上げられ、最も緊急性の高い脆弱性として位置づけられた。
修正された脅威の評価
この脆弱性は「CVE-2026-0257」として追跡されており、特定の構成でGlobalProtect認証オーバーライドクッキーを使用するPAN-OS環境に影響を及ぼす。Palo Alto Networksは5月13日にこの欠陥を公表し、当初は悪用の試みは把握しているものの、実際に悪意のある攻撃が成功した事例は観察されていないとして、脅威レベルを「中程度」に設定していた。
しかし、この評価は早々と覆された。Rapid7のセキュリティ研究者らは、5月17日以降、複数の顧客環境においてこの脆弱性が実際に悪用されている様子を観察したと報告した。同社は自社で概念実証（PoC）テストを実施し、攻撃手法の有効性を検証したという。
攻撃の仕組みと具体的な脅威
Rapid7の分析によると、この問題の本質は、PAN-OSが認証オーバーライドクッキーをどのように信頼するかにある。特定のデプロイメントにおいて、攻撃者は独自にクッキーを作成し、ファイアウォールがそれを正当なものとして受け入れさせることができる可能性がある。
特にリスクが高いとされるのは、HTTPSサービスと認証オーバーライドクッキーの両方で同じ証明書が使用されている構成だ。この場合、攻撃者は説得力のある偽のクッキーを生成するために必要な情報にアクセスできてしまう。
Rapid7は、脆弱なデバイスを標的とした複数の波状の攻撃活動を観察したと説明している。いくつかの事例では、サイバー犯罪者がVPNのIPアドレスとネットワークへのアクセスを実際に取得することに成功していた。ただし、同社が調査したインシデントでは、初期アクセスに成功した後の、ネットワーク内部を横断する動き（ラテラルムーブメント）の成功を示す証拠は確認されなかったという。
しかし、攻撃者が企業ネットワーク内部への不正なVPNセッションを構築し、正当な資格情報なしに内部リソースにアクセスできる可能性は、企業にとって極めて深刻な脅威である。
緊急対応と業界への影響
この事態を受けて、米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は、CVE-2026-0257を「既知の悪用された脆弱性（Known Exploited Vulnerabilities）」カタログに追加した。これにより、連邦政府機関は6月1日までに影響を受けるシステムをパッチ適用するか、他の方法で保護することが義務付けられた。
Palo Alto Networksも自社の勧告を改訂し、この脆弱性の重大度評価を引き上げるとともに、最も高い緊急性を示すラベルを付加した。サポート対象のリリース向けには修正プログラムが提供されている。
同社は声明の中で、「パロアルトネットワークスは、緩和策が適用されていない未パッチのPAN-OSデバイスに対する限定的な悪用の試みを認識しました」と述べ、ユーザーへの迅速な対応を呼びかけている。
繰り返される緊急事態とセキュリティ体制の問われ方
今回のPAN-OSにおける脆弱性の顕在化は、同社にとって月内で2度目の緊急事態となる。直近の5月には、国家支援を受けた攻撃者集団が、PAN-OSのユーザーID認証ポータルに存在する重大なリモートコード実行の脆弱性「CVE-2026-0300」を、パッチが広く利用可能になる前に悪用しているのが発見されている。
短期間で相次ぐ緊急事態は、企業の境界線防御における最重要機器の一つであるファイアウォールとVPNゲートウェイのセキュリティについて、業界全体に改めて厳しい問いを投げかけている。特に、パッチ適用のタイムラグや脆弱性の公表から悪用確認までの時間差は、攻撃者にとっての「黄金のウィンドウ」となりうる。
企業のセキュリティ担当者は、ベンダーからの警告を待つのではなく、自社環境の構成を詳細に把握し、潜在的なリスクを事前に評価する体制作りが一層重要になっている。今回のケースでは、特定の証明書の使い回しがリスクを増幅させており、セキュリティ設計における基本原則の徹底が再確認された形だ。
Palo Alto Networks製品を導入している組織は、直ちに影響を受けるバージョンかどうかを確認し、可能な限り迅速に公式に提供された修正プログラムを適用することが求められる。また、パッチ適用が困難な状況にある場合は、ベンダーが推奨する緩和策の実施を検討する必要がある。
サイバー攻撃は不断に進化しており、防御側も同様に俊敏な対応が求められる。今回の事例は、セキュリティ製品でさえも攻撃の標的となりうること、そしてその脆弱性の深刻さが常に事前に正確に評価できるわけではないという、厳しい現実を改めて示唆している。
よくある質問
- CVE-2026-0257の脆弱性はどのような製品に影響しますか？
- この脆弱性は、Palo Alto NetworksのPAN-OSにおいて、特定の構成でGlobalProtect認証オーバーライドクッキーを使用している環境に影響を及ぼします。具体的には、HTTPSサービスと認証オーバーライドクッキーの両方で同じ証明書が使用されている構成でリスクが最も高くなります。
- この脆弱性を悪用されると、どのような被害が想定されますか？
- 攻撃者は正当な認証情報を使用せずに、企業のVPNセッションを不正に確立し、内部ネットワークへのアクセス権を得る可能性があります。これにより、企業の機密情報や内部システムへの不正アクセスが可能になるため、被害は甚大になり得ます。
- 企業はどのような対応を取るべきですか？
- まず、使用しているPAN-OSのバージョンが影響を受ける範囲に含まれるかを確認する必要があります。影響を受ける場合、Palo Alto Networksがサポート対象のリリース向けに提供している修正プログラムを速やかに適用することが最優先です。パッチ適用が直ちにできない場合は、ベンダーの公式な緩和策を参照し、実施を検討してください。
コメント