Palo Alto Networks、GlobalProtectを妨害し得るPAN-OSのバグを修正

Palo Alto Networksのファイアウォールの脆弱性により、GlobalProtectに依存する組織のリモートアクセスが攻撃者によって妨害される可能性があり、影響を受けたシステムがメンテナンスモードに移行してサービスが中断する恐れがあります。

このPAN-OSの欠陥は、ネットワーク経由で認証不要の攻撃者がGlobalProtectゲートウェイおよびポータルに対して悪用できるものです。

この脆弱性は「…認証不要の攻撃者がファイアウォールに対してサービス拒否（DoS）を引き起こせる。繰り返しこの問題を誘発しようとすると、ファイアウォールがメンテナンスモードに入る」と、Palo Alto Networksはアドバイザリで述べています。

GlobalProtectのDoSリスクの説明

CVE-2026-0227は、GlobalProtectポータルまたはゲートウェイを実行しているPAN-OSファイアウォールおよびPrisma Accessシステムに影響し、リモートアクセスの導入環境が最もリスクにさらされます。

Palo Alto Networksは、この問題が複数のPAN-OSリリース系統にまたがり、現行ブランチと旧ブランチの両方を含むことを確認しており、混在環境ではバージョン確認とパッチ計画が重要になります。

なお、Cloud NGFWは影響を受けないため、このクラウド提供型プラットフォームを利用している顧客のリスクは限定されます。

この脆弱性はサービス拒否（DoS）の欠陥で、ネットワーク経由で認証不要の攻撃者がリモートから誘発できます。

Palo Altoは、この欠陥がGlobalProtectのポータルとゲートウェイを妨害し、繰り返し攻撃を受けるとシステムが復旧処理を強いられる可能性があるとして、深刻度を7.7（HIGH）と評価しました。

この問題は、異常または例外的な条件の不適切な処理に起因し、サービスが不正な形式のトラフィックや繰り返される異常なリクエストを受け取ると不安定な挙動につながる可能性があります。

実務上、悪用は容易です。認証、権限、ユーザー操作なしにネットワーク越しでリモートから誘発できるため、公開されたGlobalProtectインターフェースに対して自動化して実行することが可能です。

Palo Alto Networksはまた、攻撃者が通常のリクエスト経路を、境界条件下でシステムが信頼性高く処理できない形で繰り返し呼び出し得ることから、この活動をCAPEC-210（既存機能の悪用）に整合するとしています。

概念実証（PoC）のエクスプロイトコードは存在するものの、実環境での悪用報告はなく、この脆弱性に対するパッチはリリースされています。

この欠陥は認証なしでリモートから誘発できるため、インターネットに面したポータルとゲートウェイは最も高リスクとして扱うべきです。

以下の対策は、迅速な是正、攻撃対象領域の縮小、そして妨害が発生した場合のレジリエンス向上に焦点を当てています。

パッチ適用：影響を受けるPAN-OSおよびPrisma Accessシステムを、使用ブランチの修正版リリースへ更新し、最新のホットフィックス版を優先してください。
インターネットに面したGlobalProtectポータルとゲートウェイを最優先してください。悪用はリモートかつ認証不要で、自動化も容易です。
未使用のポータルとゲートウェイを無効化してGlobalProtectの露出を減らし、IP許可リストや信頼できるネットワーク範囲でアクセスを制限してください。
上流側の保護としてDDoS緩和や接続レート制限を追加し、繰り返される攻撃トラフィックの影響を低減してください。
監視：GlobalProtectとファイアウォールの健全性を監視し、異常なトラフィックスパイク、繰り返しの接続試行、不安定化やメンテナンスモード発生の兆候を検知してください。
フェイルオーバー手段の検証、帯域外アクセスの維持、インシデント対応計画のテストにより、運用上の復旧手順を準備してください。

これらの手順を組み合わせることで、妨害の試みによる影響範囲を縮小し、リモートアクセスの復旧可能性を確保できます。

この脆弱性は、GlobalProtectのようなリモートアクセスサービスが依然として高価値の標的であり、可用性のみの欠陥であっても未修正のまま放置すれば重大な運用上の混乱を招き得ることを示しています。

概念実証コードが入手可能で、悪用に認証が不要であることから、組織は迅速に露出状況を確認し、修正版リリースを適用し、インターネットに面したゲートウェイとポータルを優先すべきです。

この種の露出を長期的に減らすため、チームは暗黙のアクセスを制限し、リモートアクセスの脅威による影響範囲を縮小するゼロトラスト戦略へと移行しています。