数カ月前のPalo Alto VPN脆弱性、ランサムウェアグループの標的であり続ける

ReliaQuestによると、Palo Alto Networks製品に存在する深刻度の高い脆弱性が、セキュリティパッチの公開から5カ月が経過した今も、ランサムウェアグループに狙われ続けています。

サイバー脅威検知プロバイダーの同社は10月9日にSNSで注意喚起を投稿し、QilinやSettraのランサムウェア運用グループを含む複数のグループが、CVE-2026-0257を積極的に悪用していると警告しました。攻撃者はこの脆弱性を突いて不正なVPNセッションを確立し、社内ネットワークへの初期アクセスを獲得しています。

CVE-2026-0257は、PAN-OSのGlobalProtectおよびPrisma Accessに存在する認証バイパスの脆弱性です。影響を受けるのは、PAN-OSのバージョン10.2.0、11.1.0、11.2.0、12.1.0に加え、Cloud New Generation Firewall（Cloud NGFW）のすべてのインスタンス、Prisma Accessの2つのバージョン（10.2.0と11.2.0）など、Palo Alto Networksの複数の製品です。

この脆弱性はPalo Alto Networks自身が発見し、2026年5月13日に公表しました。深刻度スコア（CVSS）は7.8、緊急度は「最高」と評価されています。

同社は修正バージョンも公開し、顧客に脅威を緩和するための適用を促しました。また、「緩和策が適用されていない未パッチのPAN-OSデバイスに対する限定的な悪用の試みを把握した」としていました。

こうした警告にもかかわらず、一部のシステムは未パッチのままとみられます。複数の脅威インテリジェンスチームが、ここ数カ月にわたりCVE-2026-0257の悪用の試みを報告してきました。5月下旬にはRapid7、6月にはPalo Alto Networks自身のUnit 42、7月にはArtic Wolfが報告しています。

組織にパッチ適用と緩和策の追加を促す

ReliaQuestは今回、QilinとSettraのランサムウェアグループがこの脆弱性を積極的に悪用していることを確認しました。攻撃にあたっては、Cobalt Strike、BloodHound、SharpHoundといった攻撃的セキュリティツールの展開も併せて観測されています。

同社はまた、これらのグループが今後3カ月間も悪用の試みを続ける可能性が「非常に高い」と評価しています。

「このアクセスは組織自身のVPNを経由して行われるため、不正な活動が正規のリモートワークに紛れ込みかねません。認証情報の窃取、横展開、データの窃取、ランサムウェアの展開が始まるまで、気づかれない恐れがあります」と、同社は述べています。

脆弱なPalo Alto製品をなお運用している組織は、「影響を受ける環境を直ちにアップグレードし、不要な場所では認証オーバーライドCookieを無効化し、パッチ適用後はすべてのアクティブなGlobalProtectセッションを終了させたうえで、『kali』などのホスト名を使ったセッションを含め、不審な接続を調査すべきです」とReliaQuestは付け加えました。

「パッチ適用だけでは、修復前に確立されたアクセスを排除できない可能性があります」と、同社は注意を促しています。