ランサムウェアの攻撃者が、Palo Alto Networks製PAN-OSの認証バイパスの脆弱性を悪用しています。この問題により、不正なVPNセッションの確立や多要素認証（MFA）の回避が可能となり、企業ネットワークへ侵入される恐れがあります。
ExploitPrevention Tools
Unit 42の10月19日付の更新情報によると、Spikey Scorpius（Qilinとも呼ばれる）とTarnished Scorpiusの2グループが、CVE-2026-0257を悪用しています。公開されている報告では、Settraランサムウェアを使う攻撃者もこれらの攻撃に関連づけられています。
2026年6月初旬に始まった調査では、医療、教育、金融サービス、政府、製造、エネルギーなどの業種が被害を受けていたことが判明しました。調査結果には、当初報告されていたVPN接続の成功にとどまらず、さまざまなランサムウェア活動が記録されています。
Palo Alto Networks PAN-OSの脆弱性
この脆弱性は、脆弱なPAN-OS環境のGlobalProtectポータルおよびゲートウェイのコンポーネントに影響します。影響を受けるのは、認証オーバーライドCookieが有効で、かつ特定の証明書設定が行われている場合です。
Palo Alto Networksはこの弱点を、Cookieの検証および完全性チェックの不備に分類し、CVSSスコアを7.8としています。なお、PanoramaとCloud NGFWは影響を受けません。
攻撃に成功すると、攻撃者はセキュリティ制限を回避し、通常の認証プロトコルを使わずにVPN接続を確立できます。
侵入後の攻撃者は、二重用途のリモート監視・管理ツールで内部偵察を行い、RDPやSMBを使って横展開（ラテラルムーブメント）します。さらに、認証情報の窃取、データ流出、ランサムウェア展開のためのユーティリティも投入します。
注目すべき動きとして、攻撃者はVPNアクセスを得た後、仮想化管理基盤に直接アクセスするようになっています。ある調査では、侵入者がvCenter管理アプライアンスにアクセスし、ESXiハイパーバイザーのセキュリティ制御execInstalledOnlyを無効化しました。さらに、独自ツールを使ってドメインコントローラーの仮想ディスク（VMDK）から認証情報をオフラインで抽出していました。
この認証情報の窃取は、ゲストOS内で動作するプロセスではなく仮想ストレージを標的にします。そのため、ゲスト内のEDR（エンドポイントでの検知と対応）を事実上すり抜けます。
Unit 42は、攻撃者が最初の侵害と、CVE-2023-27532を通じてVeeamのバックアップ基盤を狙うツールを組み合わせていることも指摘しています。
防御側は、不審なデバイス識別子に関連するゲートウェイ接続成功イベントがないか、GlobalProtectのログを確認する必要があります。識別子の例は、aa:bb:cc:dd:ee:ff、00:11:22:33:44:55、WINDOWS-LAPTOP-001、DESKTOP-GP01、GP-CLIENTです。
概念実証（PoC）以降の活動を示す兆候としては、エンドポイントのOSバージョンが「Microsoft Windows 10 Pro 64-bit」と記録され、source_user_info.domainフィールドが空であることが挙げられます。
調査対象とすべき過去の送信元アドレスは、23.128.228[.]6、104.207.144[.]154、179.43.172[.]213です。ただしUnit 42は、既知のインフラだけに注目するのではなく、どのアドレスからの接続であっても不審なクライアント識別子を検索するよう推奨しています。これらの指標に一致する接続が成功していた場合は、インシデント対応を開始すべきです。
管理者は、影響を受けるすべてのポータルとゲートウェイを、修正済みの最新リリースへアップグレードしてください。代替策として、認証オーバーライドを無効にするか、認証オーバーライドCookie専用の新しい証明書を生成する方法もあります。
修正済みリリースではCookieが安全に再生成されるため、アップグレード後はユーザーが再認証する必要があります。ハイブリッド構成のPrisma Accessを利用している組織は、環境全体でCookieの互換性を保つため、影響を受けるオンプレミスのファイアウォールもアップグレードしなければなりません。
MTTRを21分短縮し、影響が出る前にサイバー脅威を阻止。ANYRUNのサンドボックスをSOCに統合。
Cybersecuritynews subscription
翻訳元: https://gbhackers.com/hackers-exploit-palo-alto-networks-pan-os-flaw/
