PAN-OSの脆弱性CVE-2026-0300の悪用
Palo Alto Networksの2026年5月5日〔注1〕のアドバイザリによると、PAN-OSのUser-ID Authentication Portalにバッファオーバーフローの脆弱性CVE-2026-0300があり、認証を経ない攻撃者が細工したパケットを送ってroot権限で任意のコードを実行できる［1］。同社のUnit 42は、国家の支援を受けた可能性の高い活動の集団CL-STA-1132による悪用を報告した［2］。
脆弱性の内容
Palo Alto Networksはウェブインタフェースのヘルプで、Authentication Portalを、Authenticationのポリシーのルールに合う通信の利用者をファイアウォールが認証するための設定と説明している［18］。方式は、通信を横取りするtransparentと、HTTP 302のリダイレクトで認証を促すredirectの2つである［18］。Rapid7は、この機能をIPアドレスと利用者名を対応づけるための、既定では無効の機能と説明した［13］。
Palo Alto Networksのアドバイザリによると、この問題はUser-ID Authentication Portal（別名Captive Portal）を使うように設定したファイアウォールにだけ当てはまる［1］。対象の機種はPA-SeriesとVM-Seriesで、影響を受けるのは2つの条件を両方とも満たす場合である［1］。1つ目の条件はポータルを有効にしていることで、transparentとredirectの両方式が対象になる［1］。2つ目は、信頼できない通信やインターネットの通信が入るゾーンのL3インタフェースに、応答ページを有効にしたインタフェース管理プロファイルを割り当てていることである［1］。
Palo Alto Networksは、リスクはポータルをインターネットや信頼できないネットワークから使えるようにしたときに最も高く、アクセスを信頼できる内部のIPアドレスに限れば大きく下がるとした［1］。
| 項目 | 値 | 資料 |
|---|---|---|
| CVE | CVE-2026-0300（CNAはPalo Alto Networks） | ［5］ |
| CVSS 4.0（Palo Alto Networks） | ポータルをインターネットなどに開いた構成でCVSS-BT 9.3（CRITICAL）、信頼できる内部のIPアドレスに限りインターネットに出さない構成でCVSS-BT 8.7（HIGH） | ［1］ |
| CVSS 3.1（NVD） | 9.8 | ［6］ |
| CVSS（Siemens） | v3.1で10.0、v4.0で9.3 | ［4］ |
| CWE | CWE-787（Out-of-bounds Write）、CAPEC-100（Overflow Buffers） | ［1］ |
| アドバイザリの評価 | Urgency HIGHEST、Exploit Maturity ATTACKED | ［1］ |
| 攻撃の条件 | Automatable YES、Attack Complexity LOW、Privileges Required NONE、User Interaction NONE | ［1］ |
| CISAのSSVC | Exploitation active、Automatable yes、Technical Impact total | ［5］ |
| KEVでの名前 | Palo Alto Networks PAN-OS Out-of-bounds Write Vulnerability | ［6］ |
Palo Alto Networksのアドバイザリでは、脆弱性の発見の経緯は「in production use」（実運用の中）である［1］。謝辞には、問題を見つけた社内のDeep Product Security Research Teamと、脅威調査と情報で支えたUnit 42とXpanse ILIの名がある［1］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | あるPAN-OSの機器に対する悪用の試みが始まったが、成功しなかった | ［2］ |
| 2026年 | 攻撃者 | 先に狙った機器にSAMLの大量送信（SAML flood）を行い、Activeに昇格した2台目の機器でも遠隔コード実行を果たして、EarthWormとReverseSocks5をダウンロードした | ［2］ |
| 2026年 | Palo Alto Networks | アドバイザリの初版を公開した | ［1］ |
| 2026年 | Palo Alto Networks | アドバイザリにThreat PreventionのIDを加え、影響を受ける設定の節を明確にした | ［1］ |
| 2026年 | Unit 42 | Threat Briefを公開した | ［2］ |
| 2026年 | - | CVE記録が公開された | ［5］ |
| 2026年 | CISA | KEVカタログに加え、対応の期限を2026年5月9日とした | ［6］ |
| 2026年 | CERT-EU、カナダのサイバーセキュリティセンター、シンガポールのサイバーセキュリティ庁、HKCERT | それぞれ注意喚起を出した | ［9、10、11、12］ |
| 2026年 | IPA | 注意喚起を掲載した | ［7］ |
| 2026年 | Siemens | RUGGEDCOM APE1808への影響を示すSSA-967325を公開した | ［4］ |
| 2026年 | Palo Alto Networks | アドバイザリのリリースの予定とSolutionの表を更新した | ［1］ |
| 2026年 | CISA | KEVの記載に、Palo Alto Networksがさまざまな修正を公開したとの追記をした | ［6］ |
| 2026年 | Palo Alto Networks | 11.1.15、11.1.7-h6、11.2.4-h17、11.2.12の修正版のリリースの予定を更新した | ［1］ |
| 2026年 | Siemens | SSA-967325のV1.2で、CVE-2026-0300の修正の案内を加えた | ［4］ |
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| PAN-OS 12.1 | 修正版より前の12.1の版 | 12.1.4-h5、12.1.7 | ［1］ |
| PAN-OS 11.2 | 修正版より前の11.2の版 | 11.2.4-h17、11.2.7-h13、11.2.10-h6、11.2.12 | ［1］ |
| PAN-OS 11.1 | 修正版より前の11.1の版 | 11.1.4-h33、11.1.6-h32、11.1.7-h6、11.1.10-h25、11.1.13-h5、11.1.15 | ［1］ |
| PAN-OS 10.2 | 修正版より前の10.2の版 | 10.2.7-h34、10.2.10-h36、10.2.13-h21、10.2.16-h7、10.2.18-h6 | ［1］ |
| サポートの切れた古いPAN-OS | すべての版 | サポートのある修正版に更新する | ［1］ |
| Prisma Access、Cloud NGFW、Panoramaのアプライアンス | 影響を受けない | Cloud NGFWとPrisma Accessは対応不要 | ［1］ |
| RUGGEDCOM APE1808（Siemens） | Palo Alto Networks Virtual NGFWを載せた全版のうち、ポータルを設定し、応答ページを有効にした管理プロファイルを使う構成 | Virtual NGFW V11.2.10-h6 | ［4］ |
Palo Alto NetworksはアドバイザリのSolutionの表で、版の範囲ごとに更新先を示した［1］。たとえば12.1.5〜12.1.6は12.1.7以降へ、10.2.0〜10.2.7-h*は10.2.7-h34か10.2.18-h6以降へ更新する［1］。PAN-OS 12.1.4-h5のリリースノートは、修正したCVEの1つにCVE-2026-0300を載せている［3］。
SiemensはSSA-967325で、RUGGEDCOM APE1808の新しい版を出しており、最新版への更新を勧めている［4］。Virtual NGFWの修正と更新の情報は、カスタマーサポートに連絡して受け取る［4］。CVE記録でも、SiemensのADPがRUGGEDCOM APE1808を影響を受ける製品に載せている［5］。
悪用の状況
Palo Alto Networksはアドバイザリで、信頼できないIPアドレスや公衆インターネットに開いたポータルを狙った限定的な悪用を観測したと説明した［1］。SecurityWeekへの声明では、脆弱性はポータルを公衆インターネットか信頼できないIPアドレスに出している限られた数の顧客に固有のものだとした［16］。
Unit 42のThreat Briefでは、試みが始まった1週間後、攻撃者は機器での遠隔コード実行に成功し、シェルコードを注入した［2］。注入先はnginxのワーカープロセスである［2］。その直後に検知を避けるために消したのは、クラッシュ時のカーネルメッセージ、nginxのクラッシュの記録、クラッシュのコアダンプである［2］。
Unit 42は、攻撃者がさらに4日後にroot権限で複数のツールを置いたと説明した［2］。攻撃者はその後、ファイアウォールのサービスアカウントの認証情報でdomain rootとDomainDnsZonesを対象にActive Directory（AD）を列挙した［2］。列挙の後に消したのは、監査ログにあるptraceによる注入の痕跡と、SetUserID（SUID）の権限昇格用のバイナリである［2］。
Unit 42の説明では、EarthWormはCで書かれたオープンソースのネットワークのトンネリングツールである［2］。SOCKS v5サーバーとポート転送の機能を持ち、制限のあるネットワークの境界を越える隠れた通信路を作る［2］。CL-STA-0046、Volt Typhoon、UAT-8337、APT41の背後の脅威アクターに使われたと報じられているとも書いた［2］。
Unit 42はReverseSocks5を、標的の機器から制御側へ外向きの接続を張り、ファイアウォールやNATを迂回するオープンソースのツールと説明した［2］。接続後はSOCKS5のプロキシのトンネルで、内部のネットワークに通信を通す［2］。
Unit 42のThreat Briefの結論によると、過去5年で諜報目的の国家の脅威アクターが、ファイアウォール、ルーター、IoT機器、ハイパーバイザー、VPNなどのネットワークの境界の資産に力を注ぐようになった［2］。CL-STA-1132は独自のマルウェアでなくオープンソースのツールに頼り、シグネチャによる検知を最小にしたとする［2］。数週間にわたる断続的な対話型のセッションは、多くの自動警報の仕組みが持つ行動の閾値を下回るよう意図されていたとした［2］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| IPアドレス | 67.206.213[.]86、136.0.8[.]48、146.70.100[.]69（C2 Staging）、149.104.66[.]84 | Unit 42 | ［2］ |
| EarthWormのハッシュ | e11f69b49b6f2e829454371c31ebf86893f82a042dae3f2faf63dcd84f97a584 | Unit 42 | ［2］ |
| 攻撃者のUser-Agent | Safari/532.31 Mozilla/5.5 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/138.0.0.0 Safari/537.36 Edg/138.0.0.0 | Unit 42 | ［2］ |
| トンネリングツールの配置パス | /var/tmp/linuxap、/var/tmp/linuxda、/var/tmp/linuxupdate | Unit 42 | ［2］ |
| ReverseSocks5の配置パス | /tmp/R5、/var/R5 | Unit 42 | ［2］ |
| 正体の分からないPythonスクリプトのパス | /tmp/.c | Unit 42 | ［2］ |
Unit 42のThreat Briefでは、侵害の指標に表の値のほか、EarthWormとReverseSocks5のダウンロード元のURLが1件ずつある［2］。Palo Alto Networksは、分析の結果をCyber Threat Alliance（CTA）の加盟各社と共有した［2］。
| 項目 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| Shodanが識別したインターネットに面したPAN-OSのインスタンス | 約225,000件 | Rapid7 | ［13］ |
| インターネットに面したPAN-OSのホスト | 約263,000台 | Censys | ［14］ |
| PAN-OSを公開している環境の割合（自社のデータ） | 7% | Wiz | ［15］ |
| Shodanでポータルのポート6081に見えるPAN-OSのサーバー | 67台（ポート6082では見つからない） | Wiz | ［15］ |
Censysは、スキャンのデータから絞れる脆弱な可能性のある機器は、PAN-OSの機器全体よりはるかに少ないとみた［14］。悪用が続き修正の公開も途中であるとして、悪用されうる機器を絞り込む検索式は公開しなかった［14］。確かめた第三者の情報源に、攻撃コードを公開したものは無いとした〔注2〕［14］。
当局・CSIRTでは、カナダのサイバーセキュリティセンターが、Palo Alto Networksは悪用の報告を受けていると書いた［10］。HKCERTは危険度をHigh Riskとし、CVE-2026-0300が散発的に悪用されているとした［12］。
修正と回避策
Palo Alto NetworksのSecurityWeekへの声明、Rapid7、JPCERT/CCのWeekly Reportによると、修正版は5月13日から順次公開される見込みだった［8、13、16］。Rapid7は公開が5月28日まで続く見込みとし、その後の追記で、5月13日に最初の修正が公開されたと書いた［13］。Palo Alto Networksは声明で、顧客には直ちに環境を守るための明確な緩和の案内を出したと述べた［16］。
アドバイザリの緩和策
- ポータルへのアクセスを信頼できるゾーンに限り、信頼できない通信やインターネットの通信が入るゾーンのすべてのL3インタフェースで、インタフェース管理プロファイルの応答ページを無効にする［1］。応答ページは、正規の利用者のブラウザが入る内部のゾーンのインタフェースだけで有効にする［1］。
- 要らなければポータルを無効にする［1］。
- Threat Preventionの契約者は、Applications and Threatsのコンテンツ版9097-10022のThreat ID 510019を有効にして攻撃を遮断できる［1］。Threat IDを使うには、デコーダの機能の都合でPAN-OS 11.1以降が要る［1］。
Siemensも、RUGGEDCOM APE1808について1と2の緩和策を挙げた［4］。
当局が求めた対応
NVDの記録によると、CISAは開発元の指示に沿った緩和策の適用か、緩和策が無ければ製品の使用中止を求めた［6］。
IPAは注意喚起で、被害が拡大するおそれがあるとして、ポータルの有効・無効の状態とアクセス制限の状況を確かめ、影響を受ける場合は回避策の適用を検討するよう求めた［7］。開発者が公表・更新する情報を注視し、バージョンアップ等が使えるようになったら迅速に適用できるようにしておくことも挙げた［7］。
JPCERT/CCのWeekly Reportでは、修正版が出るまではリスク軽減策の実施が推奨されている［8］。CERT-EUは、執筆のときには修正は出ていないが近く出る予定とし、出たら速やかに更新するよう推奨した［9］。
未公表の事項
- バッファオーバーフローの詳しい位置と、攻撃に使うパケットの形
- 悪用を受けた組織と機器の数
- 悪用を受けた組織の業種と地域
- CL-STA-1132の背後にある国家の名前
- Active Directoryの列挙の後の、情報の持ち出しの有無
注
出典
当事者
- ［1］Palo Alto Networks, Inc.『CVE-2026-0300 PAN-OS: Unauthenticated user initiated Buffer Overflow Vulnerability in User-ID™ Authentication Portal』（2026年5月5日公開、2026年5月28日更新）
- ［2］Palo Alto Networks, Inc.『Threat Brief: Exploitation of PAN-OS Captive Portal Zero-Day for Unauthenticated Remote Code Execution』（2026年5月6日公開、2026年5月8日更新）
- ［3］Palo Alto Networks, Inc.『PAN-OS 12.1.4-h5 Addressed Issues』（公開日不明、2026年11月4日閲覧、2026年10月28日更新）
関係組織
- ［4］Siemens AG『SSA-967325: Multiple Vulnerabilities in Palo Alto Networks PAN-OS before V11.2.10-h7 on RUGGEDCOM APE1808 Devices』（2026年5月12日公開、2026年10月13日更新）
公的機関
- ［5］MITRE Corporation『PAN-OS: Unauthenticated user initiated Buffer Overflow Vulnerability in User-ID™ Authentication Portal』（2026年5月6日公開、2026年10月15日更新）
- ［6］National Institute of Standards and Technology『CVE-2026-0300』（2026年5月6日公開、2026年10月26日更新）
- ［7］独立行政法人情報処理推進機構『Palo Alto Networks製PAN-OSの脆弱性対策について(CVE-2026-0300)』（2026年5月8日公開）
- ［8］一般社団法人JPCERTコーディネーションセンター『Weekly Report 2026-05-13号』（2026年5月13日公開、2026年5月15日更新）
- ［9］CERT-EU『Security Advisory 2026-006 Critical Vulnerability in PAN-OS』（2026年5月6日公開）
- ［10］Canadian Centre for Cyber Security『Palo Alto Networks security advisory (AV26-425)』（2026年5月6日公開）
- ［11］Cyber Security Agency of Singapore『Active Exploitation of Palo Alto Networks PAN-OS software（AL-2026-048）』（2026年5月6日公開、2026年7月30日更新）
- ［12］Hong Kong Computer Emergency Response Team Coordination Centre『Palo Alto PAN-OS Remote Code Execution Vulnerability』（2026年5月6日公開）
調査・観測
- ［13］Rapid7, Inc.『Critical Buffer Overflow in Palo Alto Networks PAN-OS User-ID Authentication Portal (CVE-2026-0300)』（2026年5月6日公開、2026年7月1日更新）
- ［14］Censys, Inc.『May 7 Advisory: Palo Alto PAN-OS User-ID Authentication Portal Buffer Overflow [CVE-2026-0300]』（2026年5月7日公開）
- ［15］Wiz, Inc.『Critical Buffer Overflow Vulnerability in PAN-OS Exploited in-the-Wild』（2026年5月6日公開）
報道機関
- ［16］Wired Business Media『Palo Alto Networks to Patch Zero-Day Exploited to Hack Firewalls』（2026年5月6日公開、2026年5月8日更新）
- ［17］Recorded Future News『Palo Alto warns of critical software bug used in firewall attacks』（2026年5月6日公開、2026年5月8日更新）
背景資料
- ［18］Palo Alto Networks, Inc.『Device > User Identification > Authentication Portal（PAN-OS 10.2 Web Interface Help）』（公開日不明、2026年11月4日閲覧、2026年6月25日更新）
更新記録
- 2026年5月10日：公開した。
- 2026年5月12日：Siemensのセキュリティアドバイザリ（出典4）を加え、「対象の製品と版」と「時系列」を改めた。
- 2026年5月13日：JPCERT/CCのWeekly Report（出典8）を加え、「修正と回避策」を改めた。
- 2026年5月15日：JPCERT/CCのWeekly Report（出典8）の5月15日の更新に合わせ、「修正と回避策」を改めた。
- 2026年5月28日：Palo Alto Networksのアドバイザリ（出典1）の5月28日の更新を加え、「時系列」と「対象の製品と版」を改めた。
- 2026年6月25日：Palo Alto Networksのウェブインタフェースのヘルプ（出典18）の6月25日の更新版を加え、「脆弱性の内容」を改めた。
- 2026年7月1日：Rapid7の記事（出典13）の7月1日の更新を加え、「修正と回避策」を改めた。
- 2026年7月14日：Siemensのセキュリティアドバイザリ（出典4）のV1.2を加え、「対象の製品と版」と「時系列」を改めた。
- 2026年7月30日：シンガポールのサイバーセキュリティ庁の注意喚起（出典11）の7月30日の更新を加え、「修正と回避策」を改めた。
- 2026年10月13日：Siemensのセキュリティアドバイザリ（出典4）のV1.3を加え、「対象の製品と版」を改めた。
- 2026年10月15日：CVE記録（出典5）の10月15日の更新を加え、「脆弱性の内容」を改めた。
- 2026年10月26日：NVDの記録（出典6）の10月26日の更新を加え、「脆弱性の内容」と「修正と回避策」を改めた。
- 2026年10月28日：PAN-OS 12.1.4-h5のリリースノート（出典3）を加え、「対象の製品と版」を改めた。