新たに公開された管理インターフェースの脆弱性が限定的に悪用されています。米連邦機関は10月17日までにパッチを適用し、対象のファイアウォールが侵害されていないか確認しなければなりません。
攻撃者が、Palo Alto Networksのファイアウォールソフトウェア「PAN-OS」で新たに公開された脆弱性を悪用し、root権限でコードを実行しています。米連邦機関は、10月17日までに脆弱性を修正し、侵害の有無を確認するよう命じられました。
Palo Alto Networksは、10月14日に公開したセキュリティアドバイザリで、この脆弱性（CVE-2026-0322）を公表しました。アドバイザリによると、この脆弱性により、ネットワークアクセス権を持つ認証済みの攻撃者が、ファイアウォール上でroot権限の任意のコードを実行できる可能性があります。
同社は「Palo Alto Networksの管理インターフェースを狙った、ごく限定的な悪用が確認されている」と説明しています。この脆弱性にはCVSS 4.0で8.6（重大度は「高」）が付けられ、同社の緊急度評価では最上位に分類されました。また、コードインジェクションの弱点であるCWE-94に分類しています。
米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）も同日、悪用の証拠を確認したとして、CVE-2026-0322を「既知の悪用された脆弱性（KEV）カタログ」に追加しました。
フォレンジックトリアージが必須
カタログの掲載情報では、この脆弱性は拘束力のある運用指令（BOD）26-04に基づくフォレンジックトリアージの対象とされています。CISAは、追加を知らせるアラートで次のように説明しています。同指令は「パッチ適用前に脅威アクターがシステムを侵害していなかったかどうかを、各機関が確認しなければならない場合の基本的な要件を定めたもの」だといいます。
掲載情報は、各機関にベンダーの緩和策を適用するよう指示しています。緩和策がない場合は、製品の使用を中止しなければなりません。ランサムウェア攻撃での悪用については「不明」としています。
IDC Asia/Pacificでセキュリティサービス担当シニアリサーチマネージャーを務めるYih Khai Wong氏は、セキュリティチームは信頼されたネットワークの外部から管理インターフェースに到達できる経路を洗い出し、管理者のログイン履歴に不審な動きがないかを確認すべきだと述べています。「ファイアウォールの設定に予期せぬ変更がないかも確認すべきです。侵害されたデバイスは、侵害状態を維持できるよう密かに再設定される可能性があるためです」（同氏）
サイバーセキュリティ研究者でレッドチームを担当するVibhum Dubey氏は「パッチ適用は対応の一部にすぎません」と指摘します。同氏は、変更を加える前にPanoramaと管理下のすべてのファイアウォールを調べ、証拠を保全すべきだと述べています。
影響を受ける製品と修正版
アドバイザリによると、この脆弱性は、PA-SeriesおよびVM-SeriesのファイアウォールのPAN-OSと、仮想版・M-Series版を含むPanoramaに影響します。Cloud NGFWとPrisma Accessは影響を受けません。
アドバイザリは「この問題の影響を受けるために、特別な設定は必要ない」と説明しています。
Palo Alto Networksは、PAN-OS 10.2、11.1、11.2、12.1、12.2の修正版をリリースしており、各メンテナンスラインのホットフィックスも一覧にまとめています。アドバイザリでは、11.2.14または11.2.15を使用している顧客のアップグレード先となるPAN-OS 11.2.16について、リリース予定日を10月15日としています。サポート対象外のバージョンを使用している顧客は、サポート対象の修正版へ移行すべきだと同社は述べています。
Wong氏は、修正がまだ適用されていないデバイスについては、管理アクセスを制限するか、デバイス上で代替の対策を講じるべきだと述べています。
攻撃者の侵入経路
アドバイザリは、攻撃者がどのようにしてそのアクセス権を得たのか、悪用がいつ始まったのか、何社の顧客が影響を受けたのかについては明らかにしていません。
Wong氏は「侵入の入り口は、おそらく脆弱性そのものではなく、管理アクセスの衛生管理の甘さです」と述べています。同氏は例として、フィッシングや使い回しによって盗まれた管理者の認証情報、インターネットから到達可能な状態のまま放置された管理インターフェース、攻撃者に正規のログイン情報を与えた過去の侵害を挙げました。
Dubey氏は「ファイアウォール上でrootとしてコードを実行できれば、ネットワーク全体のセキュリティを担う機器を掌握したことになります」と警告しています。
Palo Alto Networksは、この脆弱性は社内で発見されたと説明しています。
回避策は未提供
アドバイザリは「この問題に対する既知の回避策は存在しない」としています。
Threat Preventionのサブスクリプションを契約している顧客は、Threat ID 510046と510047を有効にできます。同社によると、これらは限定的な検知範囲にとどまり、SSL復号が必要です。アドバイザリのFAQは「現時点では検知できないバリエーションが存在する可能性がある」と述べています。
同社は、リスクが最も高まるのは「インターネット上の外部IPアドレスから管理インターフェースへのアクセスを許可している場合」だとし、信頼できる内部IPアドレスにアクセスを制限するよう推奨しています。
Wong氏は、この限定的な対策では不十分だと警告しています。踏み台サーバーはアクセスを制限したり遅らせたりするだけで、正規の認証情報を持つ侵入者による被害を減らせないためです。「本当のリスクは認証情報のセキュリティと、ログイン後の不正使用の検知にあります。単に入り口を制限すればよいという話ではありません」（同氏）
Wong氏は、企業はベンダーに次の点を問うべきだと述べています。なぜ管理インターフェースが弱点として繰り返し浮上し、デフォルトで厳重に保護されていないのか。正規の管理者認証情報の不正使用をどう検知するのか。サポート対象のすべてのバージョンにパッチが行き渡るまでにどれほどかかるのか。「影響を受けるすべてのリリースが対応されるまで、本番システムは危険にさらされたままです」（同氏）
Dubey氏は「攻撃者がファイアウォールの制御を握った場合、組織はそのデバイスをまだ信頼できるのかを判断する明確な手段が必要です」と述べています。Palo Alto Networksは、コメントの求めにすぐには応じませんでした。
Gyana Swain氏は、通信・IT分野を20年以上取材してきたベテランのテクノロジージャーナリストです。VARINDIAのコンサルティング・エディターを務め、キャリアの初期にはCyberMedia、PTI、9dot9 Media、Dennis Publishingで編集職を歴任しました。2冊の著書があり、業界への洞察と物語性のある筆致を併せ持っています。仕事以外では旅行とクリケットを愛好しています。ウトカル大学で理学士号を取得しました。
