Palo Alto Networksは、認証されていない攻撃者が重要なネットワークインフラのコンポーネントを妨害できる、同社のPAN-OSファイアウォールソフトウェアにおける高深刻度のサービス拒否（DoS）脆弱性に対処するためのセキュリティパッチを公開しました。
CVE-2026-0227として追跡されているこの欠陥は、企業環境でのリモートアクセスに広く利用されているGlobalProtectのゲートウェイおよびポータルの導入に特に影響します。
この脆弱性のCVSS v4.0基本スコアは7.7で、深刻度はHIGH（高）に分類されており、環境要因を考慮すると基本スコアは8.7に上昇します。
2026年1月14日に公開されたこのセキュリティ問題は、ファイアウォールソフトウェア内での異常または例外的な条件の検証が不適切であることに起因し、脅威アクターが繰り返し悪用を試みることで影響を受けるシステムをメンテナンスモードに強制できるようになります。
セキュリティ研究者は、CVE-2026-0227がネットワーク越しにリモートで、攻撃の複雑性が低い形で悪用可能であり、認証情報もユーザー操作も不要であることを確認しています。
この要因の組み合わせにより、脆弱性はセキュリティチームにとって特に懸念すべきものとなっており、自動化された悪用ツールが露出したシステムを大規模に迅速に標的化する可能性があります。
この欠陥は、Common Weakness EnumerationフレームワークにおけるCWE-754（異常または例外的な条件に対する不適切なチェック）およびCAPEC-210（既存機能の悪用）に該当します。
この脆弱性はファイアウォールをオフラインに強制することでシステムの可用性に深刻な影響を与えますが、データの機密性や完全性は侵害しないため、攻撃範囲はデータ流出ではなくサービス妨害に限定されます。
Palo Alto Networksは、悪用手法を示す概念実証（PoC）コードがセキュリティ研究コミュニティに存在することを認めています。
しかし同社の製品セキュリティ・インシデント対応チーム（PSIRT）は、勧告の公開日時点で、実環境（wild）での悪意ある能動的な悪用の証拠はないと報告しています。
セキュリティアナリストは、攻撃者が脆弱なシステムを探っている可能性を示すスキャン活動が確認されていると指摘しています。
この脆弱性の影響を受けるのは、GlobalProtectのゲートウェイまたはポータルが有効になっているPAN-OS次世代ファイアウォールの導入およびPrisma Accessの構成のみです。
Cloud NGFWの顧客はこのセキュリティ問題の影響を受けず、対処は不要です。
複数のPAN-OSリリースブランチにこの脆弱性が含まれており、レガシーバージョンから現行リリースまでに及びます。
影響を受けるソフトウェアバージョンには、12.1.3-h3および12.1.4より前のPAN-OS 12.1リリース、11.2.4-h15、11.2.7-h8、11.2.10-h2より前のPAN-OS 11.2バージョン、ならびに11.1、10.2、10.1ブランチにわたる多数のホットフィックスリリースが含まれます。
11.2.7-h8および10.2.10-h29未満のバージョンで稼働しているPrisma Accessの導入も、直ちに対応が必要です。
影響を受けるバージョンを運用している組織は、露出リスクを低減するための回避設定や一時的な緩和策が存在しないため、パッチ適用済みリリースへのアップグレードを直ちに最優先すべきです。
PAN-OS 12.1の顧客は、12.1.4以降へアップグレードすることで完全に保護されます。
PAN-OS 11.2システムを運用している組織は、ホットフィックス11.2.10-h2以降を適用すべきであり、レガシーブランチの利用者は現在のマイナーリリースに応じて適切なホットフィックスへ移行する必要があります。
Prisma Accessの顧客は、Palo Alto Networksの標準導入プロセスによる自動アップグレードスケジューリングの恩恵を受けられ、多くの環境ではすでにパッチが適用されています。
セキュリティチームは、Palo Alto Networksのカスタマーサポートポータルを通じてGlobalProtectの構成を確認し、異常なファイアウォールの挙動や予期しないメンテナンスモードの有効化を監視すべきです。
直ちにパッチを適用できない組織は、運用上可能であればGlobalProtect機能を一時的に無効化することを検討すべきですが、この方法は分散した従業員のリモートアクセスを妨げる可能性があります。
翻訳元: https://cyberpress.org/palo-alto-networks-firewall-flaw/