ランサムウェア攻撃者、Palo Alto Networks GlobalProtect VPNの認証バイパス脆弱性を悪用

ランサムウェアの攻撃者が、Palo Alto Networks PAN-OSのGlobalProtectおよびPrisma Accessに影響する認証バイパス脆弱性「CVE-2026-0257」を積極的に悪用しています。

この脆弱性を突かれると、不正なVPNセッションを確立され、社内ネットワークに侵入されるおそれがあります。ReliaQuestは、QilinやSettraのランサムウェア攻撃グループなど、複数の脅威グループがこの脆弱性を悪用していることを確認しました。

これらの攻撃は、不審な外部接続だけに頼るのではなく、信頼されたリモートアクセス経路を利用します。侵入者は組織自身のVPNインフラを通じてアクセスを得るため、その行動が正規のリモートワークと見分けにくくなります。その結果、認証情報の窃取、横展開（ラテラルムーブメント）、データ持ち出し、ランサムウェアの展開といった段階に入るまで、検知が遅れる可能性があります。

Palo Alto Networks VPNの脆弱性

Palo Alto Networksは、この脆弱性をGlobalProtectのポータルおよびゲートウェイのコンポーネントに影響する認証バイパスと説明しています。悪用に成功した攻撃者は、セキュリティ対策を回避して不正なVPN接続を確立できます。

CVEデータベースへのアクセス

リスクは特定の構成設定に左右されます。認証オーバーライドCookieが有効で、かつ特定の証明書構成が設定されている場合に影響を受けます。なお、PanoramaとCloud NGFWは影響を受けません。

この構成要件は重要です。GlobalProtectを導入しているからといって、自動的に脆弱であるとは限らないためです。管理者は、すべての環境が同じ程度のリスクにさらされていると決めつけず、ベンダーのアドバイザリーに従ってポータルとゲートウェイの設定を評価する必要があります。脆弱な認証メカニズムを突かれると、攻撃者は通常の認証手続きを完了せずにネットワークへアクセスできてしまいます。

ReliaQuestは、関連する活動でCobalt Strike、BloodHound、SharpHoundが使われていることも確認しています。同社はこの発見とあわせて、不正なVPNアクセスが認証情報の窃取、内部での移動、データ窃取、ランサムウェアの実行に先行しうると警告しています。ただし、すべての侵入で3つのツールが使われるわけではなく、攻撃の手順も一様ではありません。

調査担当者は、「kali」といったホスト名に関連付けられたセッションを含め、予期しないGlobalProtect接続を精査する必要があります。ReliaQuestはこのホスト名を調査の手がかりとして特に挙げています。ただし、攻撃元を断定する決定的な証拠として扱うのではなく、接続履歴やその他の証拠とあわせて評価すべきです。

組織は、影響を受ける環境をできるだけ早くアップグレードし、不要な場合は認証オーバーライドCookieを無効にすべきです。

ReliaQuestはまた、パッチ適用後にすべてのアクティブなGlobalProtectセッションを終了し、予期しない接続を調べることを推奨しています。脆弱なソフトウェアを更新するだけでは、修復前に確立されたアクセスを排除できない可能性があります。

脆弱性への対処と、既存のアクセスの排除は区別して考えることが重要です。インシデント対応では、露出しているVPN構成と、攻撃者がすでに確立している可能性のあるセッションの両方に対処しなければなりません。

ReliaQuestは、ランサムウェアグループやイニシャルアクセスブローカー（初期アクセス仲介業者）がパッチ未適用のシステムを標的にするため、今後3カ月間も悪用の可能性は高い状態が続くと評価しています。

侵害指標（IoC）

ReliaQuestは以下の指標を公開しましたが、今回の更新では各指標の具体的な運用上の役割は詳述していません。最後の項目はアドレスとして記載されており、サブネットに拡張したものではありません。これらの指標は、報告されたVPN活動とあわせて調査に役立つはずです。

注記: IPアドレスとドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化（defang、例: [.]）しています。無害化の解除は、MISP、VirusTotal、自社のSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

MTTRを21分短縮し、被害が出る前にサイバー脅威を阻止。ANYRUNのサンドボックスをSOCに導入。