PANOSのGlobalProtect脆弱性、ランサムウェア集団Qilinが悪用開始

サイバーセキュリティ企業Arctic Wolfによると、ランサムウェア集団Qilinが、PAN-OS GlobalProtectの認証バイパスに関する重大な脆弱性を悪用し、被害者のネットワークに侵入しています。

Palo Alto NetworksはCVE-2026-0257として追跡されているこの脆弱性を5月13日に修正しましたが、Rapid7が5月17日以降、多数の顧客に対する悪用を確認したと報告したことを受け、攻撃者がこの脆弱性を悪用して企業ネットワークへの侵入を始めていると警告していました。

同社は当時、「Palo Alto NetworksのPAN-OS®ソフトウェアにおけるGlobalProtectポータルおよびゲートウェイには、攻撃者がセキュリティ制限を回避し、不正なVPN接続を確立できる脆弱性が存在する」と警告し、「Palo Alto Networksは、緩和策が適用されていない未パッチのPAN-OSデバイスに対する限定的な悪用の試みを把握している」としていました。

米サイバーセキュリティ・インフラセキュリティ庁(CISA)も5月29日、この脆弱性を既知の悪用済み脆弱性(KEV)カタログに追加し、連邦機関に対し、GlobalProtect VPNインスタンスを3日以内に保護するよう命じました。

Arctic Wolf Labsは月曜日、脅威アクターがCVE-2026-0257を悪用し、ドメイン全体に及ぶQilinランサムウェアの暗号化にまで発展した攻撃を複数確認したことを明らかにしました。これらのインシデントを調査する過程で収集された証拠から、複数のQilinアフィリエイトがこの脆弱性を積極的に悪用して標的のネットワークに侵入していることがうかがえるとしています。

「Arctic Wolfは2026年6月中、Qilinランサムウェアの展開に至った複数の異なる侵入事案を調査したが、いずれもPalo Alto Networksのファイアウォールアプライアンスに対するCVE-2026-0257の悪用に端を発するものだった」と同社は述べています。

「侵入後の攻撃手口は事案ごとに異なっており、暗号化のみに終わる迅速な攻撃から、完全な二重恐喝に至るものまで幅がある。これは、Qilinのランサムウェア・アズ・ア・サービス(RaaS)の傘下で複数のアフィリエイトが活動している可能性を示唆しているのかもしれない」としています。

同社はさらに、「Arctic Wolf Labsは、CVE-2026-0257を悪用しQilinランサムウェアの展開に至る侵入が現在も継続している可能性が高いと、中程度の確度で評価している。この評価は、観測されている大規模なスキャン活動と、成功した悪用手法を複数のアフィリエイトに展開するというRaaSモデルの性質に基づくものだ」と付け加えています。

インターネット脅威監視団体のShadowserverは現在、16万7,000件超のGlobalProtect VPNインスタンスがインターネット上に露出していると追跡しており、ShodanもGlobalProtectのフィンガープリントを持つIPアドレスを17万2,000件超発見しています。ただし、そのうちどれだけがハニーポットであるか、あるいはすでにCVE-2026-0257の攻撃に対するパッチが適用済みであるかについての情報はありません。

Qilinは、2022年8月に「Agenda」という名称で登場したランサムウェア・アズ・ア・サービス(RaaS)組織で、これまでにダークウェブのリークサイト上で2,000件を超える被害組織への攻撃の犯行声明を出しています。

被害組織のリストには、自動車業界の大手企業である日産と延鋒(Yangfeng)、日本のビール大手アサヒ、病理検査サービス提供企業Synnovis、出版大手Lee Enterprises、そしてオーストラリアのCourt Services Victoriaといった著名な組織が数多く含まれています。

Palo Alto Networksの製品・サービスは、米国大手銀行の大半やフォーチュン10企業の90%を含む、全世界7万社を超える顧客に利用されています。