GlobalProtectの認証回避の脆弱性CVE-2026-0257の悪用
- タグ
- 国外
PAN-OSとPrisma AccessのGlobalProtectにある認証回避の脆弱性CVE-2026-0257で、攻撃者は不正なVPN接続を確立できる［1］。Palo Alto Networksは2026年5月29日にアドバイザリを改め、未修正で緩和策のない機器への限定的な悪用の試みを把握したとした［1］。10月19日にUnit 42が、QilinとIncなどのランサムウェアの運用者による悪用の試みを追記した［2］。
脆弱性の内容
GlobalProtectは、Palo Alto Networksの次世代ファイアウォールかPrisma Accessで、モバイルの従業員とリモートアクセスを保護するための製品である［10］。
Palo Alto Networksのアドバイザリによると、GlobalProtectのポータルかゲートウェイを設定し、認証オーバーライドのCookieを有効にし、特定の証明書の構成があるファイアウォールが影響を受ける［1］。脆弱性は社内のセキュリティ研究チームが発見した［1］。
| 項目 | 値 | 資料 |
|---|---|---|
| CVSS（Palo Alto Networks） | CVSS 4.0で7.8（HIGH）。推奨の緊急度はHIGHEST | ［1］ |
| CVSS（NVD） | CVSS 3.1で9.1（CRITICAL） | ［5］ |
| CWE | CWE-565（検証と完全性の確認なしのCookieへの依存） | ［1、4］ |
| 攻撃パターン | CAPEC-114（認証の悪用） | ［1］ |
| 悪用の状況 | Exploit MaturityはATTACKED、AutomatableはNO | ［1］ |
| CISAのSSVC | Exploitationはactive、Technical Impactはtotal | ［4］ |
Rapid7の5月29日の報告では、認証オーバーライドは認証済みの利用者にCookieを発行して資格情報での再認証の代わりに使わせる機能で、既定では有効でない［6］。復号したCookieの内容は、署名の検証なしにそのまま信頼される［6］。Cookieの暗号化と復号に使う証明書をポータルやゲートウェイのHTTPSサービスなど他の機能と使い回していると、認証されていない遠隔の攻撃者がその証明書の公開鍵を突き止められる［6］。公開鍵を知る者は、任意の認証オーバーライドのCookieを偽造して暗号化できる［6］。
Rapid7は、この脆弱性のCVSS 4.0の値は当初4.7（中）で、その後7.8に変わったと書いた［6］。Arctic Wolfは、Rapid7が技術分析とPoCを公開したことを受けてPalo Alto Networksが値を引き上げたとした［7］。Palo Alto Networksはよくある質問の節で、深刻度の評価はCVSS 4.0のThreat Scoreに結び付いてPoCの公開や実際の攻撃の観測で上がり、Base Scoreは変わらないと説明した［1］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Palo Alto Networks | アドバイザリを初めて公開し、CVEレコードを公開した | ［1、4］ |
| 2026年 | - | Rapid7が観測した最も早い悪用があった | ［6］ |
| 2026年 | Rapid7 | MDRが1時51分（UTC）に不審なVPN認証のアラートに対応した | ［6］ |
| 2026年 | - | 2回目の悪用の波があった | ［6］ |
| 2026年 | Palo Alto Networks | アドバイザリの悪用の状況を更新した | ［1］ |
| 2026年 | Rapid7 | 悪用の観測と技術分析を公開し、PoCを示した | ［6、7］ |
| 2026年 | CISA | KEVカタログに追加し、対応期限を6月1日とした | ［5］ |
| 2026年 | シンガポールのサイバーセキュリティ庁 | 警報AL-2026-064を出した | ［12］ |
| 2026年 | Palo Alto Networks | アドバイザリによくある質問の節を加えた | ［1］ |
| 2026年 | Arctic Wolf | 6月上旬の悪用の増加を報告した | ［7］ |
| 2026年 | Palo Alto Networks（Unit 42） | Threat Briefで悪用の観測と指標を公表した | ［2］ |
| 2026年 | Siemens | RUGGEDCOM APE1808のアドバイザリSSA-967325のV1.1にCVE-2026-0257を加えた | ［3］ |
| 2026年 | Arctic Wolf | Qilinランサムウェアの展開に至った侵入を報告した | ［8］ |
| 2026年 | ReliaQuest | 複数のグループによる悪用をSNSで警告した | ［13］ |
| 2026年 | Palo Alto Networks（Unit 42） | Threat Briefにランサムウェアの運用者による悪用の試みを加えた | ［2］ |
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| PAN-OS 12.1 | 12.1.4-h6・12.1.7より前 | 12.1.4-h6、12.1.7 | ［1］ |
| PAN-OS 11.2 | 11.2.4-h17・11.2.7-h14・11.2.10-h7・11.2.12より前 | 11.2.4-h17、11.2.7-h14、11.2.10-h7、11.2.12 | ［1］ |
| PAN-OS 11.1 | 11.1.4-h33・11.1.6-h32・11.1.7-h6・11.1.10-h25・11.1.13-h5・11.1.15より前 | 11.1.4-h33、11.1.6-h32、11.1.7-h6、11.1.10-h25、11.1.13-h5、11.1.15 | ［1］ |
| PAN-OS 10.2 | 10.2.7-h34・10.2.10-h36・10.2.13-h21・10.2.16-h7・10.2.18-h6より前 | 10.2.7-h34、10.2.10-h36、10.2.13-h21、10.2.16-h7、10.2.18-h6 | ［1］ |
| Prisma Access 11.2.0 | 11.2.7-h13より前 | 11.2.7-h13 | ［1］ |
| Prisma Access 10.2.0 | 10.2.10-h36より前 | 10.2.10-h36 | ［1］ |
| Panorama、Cloud NGFW | 影響なし | - | ［1］ |
| RUGGEDCOM APE1808 | Virtual NGFWでGlobalProtectを設定し、認証オーバーライドのCookieと特定の証明書の構成がある全ての版 | Virtual NGFW V11.2.10-h7 | ［3］ |
Palo Alto Networksは、Prisma Accessでは顧客と共有したアップグレードの予定に沿って全顧客を順次アップグレードしていると説明した［1］。ポータルでは、エージェント設定のAuthenticationタブの「Generate cookie for authentication override」か「Accept cookie for authentication override」が選ばれているかで、設定の有無を確かめる［1］。ゲートウェイで確かめるのは、クライアント設定のAuthentication Overrideタブの「Accept cookie for authentication override」である［1］。
PAN-OS 12.1.7のリリースノートでは、修正したCVEの一覧にCVE-2026-0257を含む10件が載っている［11］。RUGGEDCOM APE1808の修正版は、Siemensがアドバイザリの7月14日のV1.2で案内した［3］。
悪用の状況
初期の悪用の観測
Rapid7は5月29日の報告で、MDRが多数の顧客で悪用の成功を確認し、機器からの横展開の成功の兆候は見られなかったと書いた［6］。MDRが対応した不審なVPN認証のアラートでは、同じホスティング事業者Vultrから、複数の顧客環境のローカル管理者アカウントへの不審なCookie認証があった［6］。影響を受けた顧客の機器ではCloud Authentication Service（CAS）が無効で、認証オーバーライドのCookieが有効だった［6］。Rapid7 LabsはPoCを作って悪用を確かめた［6］。
Rapid7が観測した2回目の波は、ホスティング事業者Dromatics Systemsからだった［6］。Rapid7はMACアドレスが一貫していることから、両方の波は同じ脅威アクターによる可能性が高いとみている［6］。この波ではCookie認証の後にVPNのIPアドレスが割り当てられ、内部ネットワークへのアクセスが得られた［6］。影響を受けたMDRの顧客10社のうち8社では、Cookieは受け入れられたが、完全なVPNセッションは確立しなかった［6］。
6月5日のThreat BriefでUnit 42は、6月に正体不明の脅威アクターがGlobalProtectへのアクセスを試みる悪用を観測したと報告した［2］。アクセス後の行動や横展開は見つからず、探索された機器のうちVPNセッションを確立したのは一部だった［2］。
Arctic Wolfは6月4日の報告で、6月上旬に悪用の増加を観測したと説明した［7］。脅威アクターは、adminを含む特権アカウントの認証オーバーライドのCookieを偽造し、資格情報も多要素認証（MFA）も無しにVPNセッションを確立した［7］。侵入後には、設定の取得、IPsecトンネルの確立、ImpacketやNTLMリレーでの横展開があった［7］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| リクエスト | /ssl-vpn/hipreport.espと/ssl-vpn/getconfig.espへのPOST（VPNトンネルが確立した事例） | Rapid7 | ［6］ |
| IPアドレス | 23.128.228[.]6、202.144.192[.]47ほか計9件 | Unit 42 | ［2］ |
| 不審なホストID・デバイス名 | aa:bb:cc:dd:ee:ff、00:11:22:33:44:55、WINDOWS-LAPTOP-001、DESKTOP-GP01、GP-CLIENT | Unit 42 | ［2］ |
| PoCのコードに固定された値 | endpoint_os_versionがMicrosoft Windows 10 Pro 64-bit、source_user_info.domainが空 | Unit 42 | ［2］ |
| ホスト名 | kali | Arctic Wolf | ［8］ |
攻撃者と手口
Arctic Wolfの7月20日の報告によると、6月に調査した複数の侵入は、いずれもCVE-2026-0257の悪用から始まり、Qilinランサムウェアの展開に至った［8］。侵入後の手口は侵入ごとに異なり、Arctic WolfはQilinのRaaSの複数のアフィリエイトの可能性があるとした［8］。侵入をまたいで送信元のIPアドレスが重なっており、Arctic Wolfはそれが共有の悪用基盤か道具を示唆すると述べた［8］。
Arctic Wolfが調べた侵入では、LSASSのダンプとNTDSの抽出で認証情報を取り、AnyDesk・Ngrok・LogMeInを展開した［8］。一部の侵入では、クラウドストレージへのデータの持ち出しの後に暗号化があった［8］。
Unit 42は10月19日の追記で、Settraランサムウェアを使う脅威アクターに悪用を帰属させる公開の報告があることも把握しているとした［2］。攻撃者はこの脆弱性で企業ネットワークへの最初の足掛かりを得て、MFAを回避してVPNセッションを確立する［2］。その後は、二重用途のRMMツールでの内部偵察、RDPとSMBでの横展開、認証情報の収集・データの持ち出し・ランサムウェアの展開のための道具の準備を行うのが典型だとした［2］。調査は6月初めから続き、教育・金融・医療・ハイテク・ホスピタリティ・製造・専門サービスと法律・政府・運輸と物流・電力とエネルギー・卸売と小売の11業種にわたる［2］。
Unit 42が挙げたある事例では、攻撃者が侵害したVPNゲートウェイからvCenterに移り、ESXiの保護（execInstalledOnly）を無効にし、ドメインコントローラーの仮想ディスク（VMDK）から認証情報をオフラインで抜き出した［2］。Unit 42は、VeeamのCVE-2023-27532を狙うツールとの組み合わせも観測している［2］。
Infosecurity Magazineの10月12日の記事によると、ReliaQuestは10月9日のSNSの注意喚起で、QilinとSettraのランサムウェアの運用を含む複数のグループがこの脆弱性を悪用し、不正なVPNセッションを確立していると警告した［13］。Cobalt Strike・BloodHound・SharpHoundなどの攻撃用ツールの展開も観測し、今後3か月も悪用の試みが続く可能性を「highly likely」とみた［13］。
修正と回避策
Palo Alto Networksはアドバイザリで、修正版への更新と2つの緩和策を示した［1］。
- 系列ごとの修正版（表2）に更新する［1］。サポート外の古いPAN-OSは、修正済みのサポート版に更新する［1］。
- 緩和策として、認証オーバーライドのCookie専用の証明書を新たに作って安全に保管し、ポータルやゲートウェイの証明書を使い回さず、他の機能や利用者と共有しない［1］。
- 別の緩和策として、GlobalProtectのポータルとゲートウェイの設定で認証オーバーライドの選択（Cookieの生成と受け入れ）を外す［1］。
修正版は認証オーバーライドのCookieをより安全な方法で作り直すため、GlobalProtectの利用者は有効なCookieがあっても、PAN-OSの更新後に1回だけ再認証が要る［1］。Unit 42は、修正が5月から提供されていると書いた［2］。
Palo Alto Networksのよくある質問の節によると、Cookieを生成・受け入れる全てのGlobalProtectのポータルとゲートウェイ（内部・外部とも）を更新する必要がある［1］。ハイブリッドのPrisma Accessの構成では、オンプレミスの全てのNGFWを修正版に更新しなければならない［1］。段階的な更新の間は更新済みの機器でCookieのHMACの厳格な検証を一時的に無効にでき、全機器の更新後には再び有効にするよう求めた［1］。以前に他の機能で使った証明書は、他の機能から外しても認証オーバーライドに使い続けられず、専用の証明書を新たに作る必要がある［1］。
シンガポールのサイバーセキュリティ庁（CSA）は5月31日の警報で、この脆弱性が実際に悪用されているとし、CVSS 3.1の値を9.1と書いた［12］。影響する版の利用者と管理者には、最新版への即時の更新と、更新までのオーバーライド用の専用証明書の使用か認証オーバーライドの無効化を勧めた［12］。
CISAがKEVカタログ〔注1〕の登録で求めた対応は、ベンダーの指示に沿った緩和策の適用、クラウドサービスでのBOD 22-01の指針への準拠、緩和策が無ければ製品の使用中止である［5］。The Hacker Newsの追記によると、CISAは連邦文民行政機関（FCEB）に6月1日までの緩和を命じた［9］。
Infosecurity Magazineは、ReliaQuestが、更新、不要な認証オーバーライドのCookieの無効化、更新後の全GlobalProtectセッションの終了、「kali」などのホスト名のセッションを含む想定外の接続の調査を勧めたと報じた［13］。ReliaQuestは、修正だけでは修正前に得られたアクセスを除けないことがあるとも述べた［13］。
未公表の事項
- Palo Alto Networksが把握した悪用の件数と、悪用された組織の数
- 脆弱性の技術的な原因についてのPalo Alto Networksの説明
- Prisma Accessの全顧客のアップグレードを終える時期
- ランサムウェアの被害を受けた組織の名前と数
注
- 〔注1〕Unit 42のThreat Briefは、KEVカタログへの追加日を5月13日と書いている［2］。
出典
当事者
- ［1］Palo Alto Networks, Inc.『CVE-2026-0257 PAN-OS: GlobalProtect Authentication Bypass Vulnerabilities』（2026年5月13日公開、2026年6月3日更新）
- ［2］Palo Alto Networks, Inc.『Active Exploitation of May 2026 PAN-OS CVE-2026-0257 (Updated October 20)』（2026年6月5日公開、2026年10月26日更新）
- ［11］Palo Alto Networks, Inc.『PAN-OS 12.1.7 Addressed Issues』（公開日不明、2026年10月28日更新、2026年11月4日閲覧）
関係組織
- ［3］Siemens AG『SSA-967325: Multiple Vulnerabilities in Palo Alto Networks PAN-OS before V11.2.10-h7 on RUGGEDCOM APE1808 Devices』（2026年5月12日公開、2026年10月13日更新）
公的機関
- ［4］The MITRE Corporation『CVE-2026-0257』（2026年5月13日公開、2026年10月15日更新）
- ［5］National Institute of Standards and Technology『CVE-2026-0257』（2026年5月13日公開、2026年10月26日更新）
- ［12］Cyber Security Agency of Singapore『Critical Vulnerability in Palo Alto Networks Products』（2026年5月31日公開）
調査・観測
- ［6］Rapid7, Inc.『Rapid7 Observed Exploitation of PAN-OS GlobalProtect Authentication Bypass Vulnerability (CVE-2026-0257)』（2026年5月29日公開、2026年7月1日更新）
- ［7］Arctic Wolf Networks, Inc.『CVE-2026-0257: PAN-OS GlobalProtect Authentication Bypass』（2026年6月4日公開、2026年9月3日更新）
- ［8］Arctic Wolf Networks, Inc.『Cookie Crumbles: How Exploitation of CVE-2026-0257 Leads to Qilin Ransomware』（2026年7月20日公開）
報道機関
- ［9］The Hacker News『PAN-OS GlobalProtect Authentication Bypass (CVE-2026-0257) Under Active Exploitation』（2026年5月30日公開）
- ［13］Reed Exhibitions Ltd『Months-Old Palo Alto VPN Vulnerability Remains a Target for Ransomware Groups』（2026年10月12日公開）
背景資料
- ［10］Palo Alto Networks, Inc.『Secure Remote Access | GlobalProtect - Palo Alto Networks』（公開日不明、2026年11月4日閲覧）
更新記録
- 2026年5月31日：公開した。
- 2026年6月2日：Rapid7の報告の6月2日の更新（出典6）で示されたCVSSの値の変更を「脆弱性の内容」に加えた。
- 2026年6月3日：Palo Alto Networksのアドバイザリの6月3日の改訂（出典1）で加わったよくある質問の節の内容を「脆弱性の内容」と「修正と回避策」に、Rapid7の報告の6月3日の更新（出典6）で示されたVPN接続の成功時のURIを「悪用の状況」の表3に加えた。
- 2026年6月4日：Arctic Wolfの報告（出典7）で示された悪用の増加と侵入後の活動を「悪用の状況」に加えた。
- 2026年6月5日：Unit 42のThreat Brief（出典2）で示された悪用の観測と指標を「悪用の状況」に加えた。
- 2026年6月9日：SiemensのアドバイザリSSA-967325のV1.1（出典3）でのCVE-2026-0257の追加を「時系列」に、RUGGEDCOM APE1808の影響を「対象の製品と版」に加えた。
- 2026年7月1日：Rapid7の報告の7月1日の更新版（出典6）に合わせ、「悪用の状況」の記述を改めた。
- 2026年7月14日：SiemensのアドバイザリのV1.2（出典3）で示されたRUGGEDCOM APE1808の修正版を「対象の製品と版」に加えた。
- 2026年7月20日：Arctic Wolfの報告（出典8）で示されたQilinランサムウェアに至る侵入を「悪用の状況」に加えた。
- 2026年9月3日：Arctic Wolfの報告の9月3日の更新版（出典7）に合わせ、出典の行を改めた。
- 2026年10月12日：Infosecurity Magazineの記事（出典13）で報じられたReliaQuestの注意喚起を「悪用の状況」と「修正と回避策」に加えた。
- 2026年10月13日：SiemensのアドバイザリのV1.3（出典3）に合わせ、出典の行を改めた。
- 2026年10月15日：CVEレコードの10月15日の更新（出典4）でCISAが付けたSSVCの評価を「脆弱性の内容」の表1に加えた。
- 2026年10月19日：Unit 42のThreat Briefの10月19日の改訂（出典2）で示されたランサムウェアの運用者による悪用を「悪用の状況」に加え、リードの最後の文を改めた。
- 2026年10月20日：Unit 42のThreat Briefの10月20日の改訂（出典2）に合わせ、出典の題を改めた。
- 2026年10月23日：Unit 42のThreat Briefの10月23日の改訂（出典2）に合わせ、出典の行を改めた。
- 2026年10月26日：NVDの記録の10月26日の更新（出典5）で示されたCVSS 3.1の評価を「脆弱性の内容」の表1に、Unit 42のThreat Briefの同じ日の改訂（出典2）に合わせて出典の行を改めた。
- 2026年10月28日：PAN-OS 12.1.7のリリースノートの10月28日の更新（出典11）で示されたCVE-2026-0257の修正を「対象の製品と版」に加えた。