複数のランサムウェアグループが、Palo Alto NetworksのPAN-OS GlobalProtectに存在する認証バイパスの脆弱性「CVE-2026-0257」を悪用し、医療や教育から政府、エネルギーまで幅広い分野の組織に侵入しています。この脆弱性は5月にパッチが公開されています。
CVE-2026-0257の原因は、ファイアウォールがCookieに依存しながら、詳細な検証や整合性チェックを行っていない点にあります。このため、リモートの未認証の攻撃者がセキュリティ制限を回避し、不正なVPN接続を確立できます。影響を受けるのは、PAN-OSソフトウェアを実行するPalo Alto Networksの物理・仮想ファイアウォールのGlobalProtectポータルとゲートウェイ、およびPrisma Accessです。
Palo Alto Networksは5月13日にこの脆弱性を公表した際、深刻度を「中」と評価していました。その後、5月29日にアドバイザリーを更新し、「パッチ未適用で緩和策も講じていないPAN-OSデバイスに対する限定的な悪用の試みを把握した」と説明しています。
この時点で、Rapid7はすでに報告を出していました。それによると、攻撃者は5月17日から顧客のデバイスのローカル管理者アカウントを狙い、一部は5月21日の第2波で内部ネットワークに到達したということです。
10月19日、Unit 42はこの脆弱性に関する脅威ブリーフを更新し、悪用しているランサムウェア運営者としてQilinとIncを挙げました。同社のインシデント対応チームは、6月初旬からこの脆弱性に関連する侵入を調査しています。
Palo Alto Networks Unit 42で脅威インテリジェンス担当シニアディレクターを務めるAndy Piazza氏は、「攻撃者はこの脆弱性を利用して企業ネットワークへの足がかりを築き、その後、多要素認証（MFA）を回避してVPNセッションを確立している」と記しています。
攻撃者は内部に侵入すると、正規のIT管理ツールを使ってネットワークを探索し、ほかのマシンへ感染を広げます。さらにパスワードやデータを盗むツールを持ち込んだうえで、ランサムウェアを展開します。
Unit 42が調査したある事例では、攻撃者は侵害したVPNゲートウェイからvCenter管理アプライアンスに移動しました。続いてESXiハイパーバイザーのセキュリティ制御を無効化し、ドメインコントローラーの仮想ディスクに対して独自ツールを実行して、認証情報をオフラインで抽出しました。
「この手法はゲスト内のEDR（エンドポイントでの検知と対応）やセキュリティ制御を回避するもので、ドメイン全体の認証情報を入手する極めて高度な方法といえる」
Piazza氏は、「こうした初期アクセスを、Veeamバックアップ基盤を狙うツール（CVE-2023-27532）など、ほかのエクスプロイトツールと組み合わせて被害を最大化しようとする攻撃者も確認している」と付け加えました。
リモート従業員を装う侵入者
ReliaQuestも、QilinやSettraのランサムウェア運営を含む複数の脅威グループによる悪用を追跡しており、関連する活動からCobalt Strike、BloodHound、SharpHoundを確認しました。
同社は、「このアクセスは組織自身のVPNを経由するため、不正な活動が正規のリモートワークに見え、認証情報の窃取、横展開、データ窃取、ランサムウェアの展開が始まるまで気づかれない恐れがある」と警告しています。
同社のアナリストは、攻撃が今後も続くとみています。ランサムウェアグループや初期アクセスブローカーがパッチ未適用のシステムを探し続けることから、悪用は「今後3カ月間、継続する可能性が非常に高い」と評価しています。
ReliaQuestは、影響を受ける環境を速やかにアップグレードするよう推奨しています。あわせて、不要な場合は認証オーバーライドCookieを無効にし、パッチ適用後はGlobalProtectのアクティブなセッションをすべて終了させることを求めています。「kali」などのホスト名を持つセッションを含め、不審な接続も調べる必要があります。
研究者らは「パッチを適用しても、修復前に確立されたアクセスは排除できない可能性がある」と注意を促しています。
最新の情報漏えいや脆弱性、サイバー脅威を見逃さないよう、速報メールアラートをご購読ください。こちらから購読
