ランサムウェアの攻撃者が、2026年5月に修正されたGlobalProtect VPNの脆弱性を引き続き狙っています。企業の仮想化基盤にまで侵入が及んだ事例も確認されています。
Palo Alto NetworksのUnit 42は2026年10月19日の更新情報で、QilinとIncのランサムウェア攻撃者がCVE-2026-0257を標的に悪用を試み続けていると明らかにしました。調査によると、攻撃者はVMwareインフラに到達し、仮想マシン内で動作するセキュリティツールを回避しながらドメイン認証情報を窃取していました。
脆弱なGlobalProtect構成を運用するセキュリティチームは、パッチの適用状況を確認するとともに、修正前に攻撃者がアクセス経路を確保していなかったかを調査する必要があります。
GlobalProtectを起点とした攻撃、仮想化・バックアップシステムにも到達
Unit 42の調査では、Qilin（Spikey Scorpius）とInc（Tarnished Scorpius）を特定しています。一方で、Settraランサムウェアが関与したとする別の公開報告があることも認めています。
CVE-2026-0257は、認証オーバーライドCookieと脆弱な証明書設定を組み合わせて使用する、特定のPAN-OSおよびPrisma Access環境に影響します。攻撃者は、多要素認証（MFA）を含む通常の認証を完了しなくても、不正なVPNセッションを確立できます。
Palo Alto Networksはこの脆弱性の深刻度を「高」（CVSS 4.0で7.8）と評価しています。2026年5月13日に公表され、5月29日にCISAの「既知の悪用された脆弱性（KEV）カタログ」に追加されました。
調査担当者は、正規のリモート管理ソフトウェアを使った偵察活動を確認しました。その後、攻撃者はRDPとSMBを通じて横展開しています。信頼されたリモート管理ツールの悪用は、セキュリティチームにとって検知を難しくする要因です。
ある侵入事例では、攻撃者がVMware vCenterに到達し、ESXiホストのセキュリティ制御execInstalledOnlyを無効化しました。さらに仮想ディスクからドメイン認証情報を抜き出し、ゲストOS内のセキュリティ制御を回避しています。Unit 42はまた、攻撃者がVPNアクセスと、Veeamバックアップ基盤を狙うエクスプロイトツール（CVE-2023-27532を含む）を組み合わせていることも確認しました。
これとは別に、Arctic Wolfは6月の侵入事例を報告しており、最終的にQilinランサムウェアが展開されました。Cisco製ファイアウォール管理製品の脆弱性も同様に、内部ネットワークに対するランサムウェア攻撃を可能にしています。
Suzu LabsでセキュアなAIソリューションおよびサイバーセキュリティ担当シニアディレクターを務めるJacob Krell氏は、侵害されたセキュリティ機器から到達できる範囲を制限するよう推奨しています。
Krell氏は「ファイアウォールは攻撃者が到達し得るエンドポイントとして扱い、侵害されたゲートウェイからその背後のすべてに到達できないようセグメント化すべきです」と述べました。
パッチ適用、脅威ハンティング、復旧のための対策
管理者は、脆弱な構成を修正したうえで、過去のアクセスを調査する必要があります。最近のIvanti VPNにおける認証情報窃取攻撃は、ソフトウェアの更新だけでは対処が不十分である理由を示しています。
- パッチ適用と認証の強化：ベンダーのアドバイザリに記載された修正済みのPAN-OSおよびPrisma Accessリリースを適用します。不要な認証オーバーライドCookieは無効化するか、専用の証明書を使用します。関連するポータルとゲートウェイを更新し、厳格なHMAC検証を有効にします。
- VPNアクティビティの確認：不審な
gateway-connectedイベント、送信元IPアドレス、GP-CLIENTやDESKTOP-GP01などの識別子を調査します。侵害を断定する前に、複数の指標を突き合わせて確認します。 - 内部アクセスの調査：特権アカウント、RDPとSMBの通信、vCenterとESXiの構成、Veeamシステムに、不正な変更や認証情報の窃取がないか調べます。
- 横展開の抑制：VPNアクセスを、ドメインコントローラー、ハイパーバイザーの管理インターフェース、バックアップサーバーからセグメント化します。最小権限を徹底し、管理者アカウントを分離します。
- 管理画面の露出を制限：ポート4443と3879で外部からアクセス可能な管理インターフェースがないか確認します。これはUnit 42の10月20日付の更新情報で指摘された、別の設定上の懸念です。
- インシデント対応計画のテスト：侵害されたアクセスを無効化し、漏えいした認証情報をローテーションします。永続化の手口を調べ、保護された復旧用コピーを使ってバックアップから復元できるか検証します。
Ridge Securityでテクニカルマーケティングエンジニアリング担当シニアディレクターを務めるDarin Fredde氏は、修復作業を検証することの重要性を強調しました。
Fredde氏は「脆弱性をより早く発見しても、同じように効果的に修正できなければほとんど意味がありません」と述べています。
パッチを適用すれば既知の脆弱性は塞がります。それでも、侵害の可能性を見つけてランサムウェアの被害を抑えるには、過去のVPNアクティビティと下流のシステムを確認することが欠かせません。
関連記事：FBIのSafePayランサムウェアに関する警告（600以上の組織が被害）は、侵害された認証情報、公開されたサービス、復旧基盤への攻撃が、企業の業務をどのように妨げ得るかを詳しく伝えています。
翻訳元: https://www.esecurityplanet.com/news/news-globalprotect-vpn-ransomware-attacks/
