Palo Alto Cortex XDR Broker の脆弱性 CVE-2026-0231 が FIX：機密情報の漏洩／改竄の恐れ

Palo Alto Cortex XDR Broker Vulnerability Exposes Systems to Sensitive Information Theft and Modification

2026/03/12 gbhackers — Palo Alto Networks が公開したのは、Cortex XDR Broker Virtual Machine (VM) で新たに発見された脆弱性に関するセキュリティ・アドバイザリである。この脆弱性 CVE-2026-0231 (Medium) を悪用する脅威アクターは、機密のシステム情報へのアクセスや変更を可能にする。Broker VM は、オンプレミスのネットワーク資産と、クラウド・ベースの Cortex XDR platform を接続する、重要なブリッジとして機能するものだ。そのため、このコンポーネントの保護は、組織全体の防御体制の維持にとって極めて重要である。

脆弱性の概要

この欠陥は、システムの特定の管理機能を処理する方法の不備に起因し、機密性の高いシステム情報の漏洩 (CWE-497) として分類される。

Cortex User Interface (UI) を通じて、認証済みユーザーが Live Terminal セッションを直接起動することで、この脆弱性は発動される。ターミナル・セッションが有効化されると、攻撃者によるコンフィグ設定の操作が可能になってしまう。

この不正アクセスにより、攻撃者は高機密データを抽出するだけではなく、システムのコアパラメータを変更する可能性を得る。結果として、このセキュリティ・アプライアンスの整合性が損なわれる可能性がある。

システムの機密性／整合性／可用性に、深刻な影響を与える可能性があるが、この脆弱性の CVSS v4.0 脅威スコアは 5.7 である。

この Moderate 評価は、エクスプロイト成功に必要な厳しい前提条件を反映している。CVE-2026-0231 をエクスプロイトする攻撃者は、パブリック・インターネットから直接攻撃することはできない。

攻撃者は Broker VM への直接のローカル・ネットワーク・アクセスを事前に持っている必要があり、さらに高レベルの Admin 権限を保有している必要がある。

ただし、これらの条件を満たしている脅威アクターにとって、攻撃の複雑度は低く、エクスプロイト実行のためのユーザー操作を必要とせずに侵害が完了する。

Palo Alto Networks 内の、セキュリティ調査によりこの脆弱性が発見され、早期に対処されたことが、それぞれのセキュリティ・チームにとって救いとなっている。

現時点において Palo Alto Networks は、実際の攻撃における悪用事例は確認されていないと説明している。さらに、エクスプロイトも未報告であり、ハッカーたちのコミュニティで、PoC エクスプロイトなどが共有された事実もない。

この脆弱性が影響を及ぼす範囲は、特定のソフトウェア・バージョンのみに限定される。具体的には、Cortex XDR Broker VM ブランチ・バージョン 30.0.49 未満が影響を受ける。

Palo Alto Networks によると、この範囲内の全インストールに影響が及ぶという。また、露出を引き起こす特別なシステム・コンフィグも不要であるという。

緩和策と対策

このエクスプロイト を防ぐための、回避策や緩和策は存在しない。したがって、ベンダーが提供する公式パッチの適用が唯一の確実な防御手段となる。ネットワーク管理者は、以下の対応を直ちに実施する必要がある。

  • 影響を受けるシステムを、Cortex XDR Broker VM バージョン 30.0.49 以降へとアップデートする。
  • Broker VM での自動アップデートの有効化を確認する。有効な場合には、パッチは手動操作なしで自動適用される。
  • 自動アップデートが無効の場合には有効化する。これにより、今後のすべてのセキュリティ・パッチが遅延なく配布／インストールされる。

Palo Alto Networks の、オンプレミスとクラウドを繋ぐ重要コンポーネントである Cortex XDR Broker VM において、機密情報の漏洩や設定の改竄などを許す、深刻な脆弱性 CVE-2026-0231 (Medium) が発生しました。この問題の原因は、管理機能の処理不備により、機密性の高いシステム情報が露出してしまう、情報の不適切な公開 (CWE-497) にあります。

この脆弱性は、管理者が利用する Live Terminal セッションを介して発動します。このセッションを起動する認証済みのユーザーは、本来保護されているはずのシステム設定や高機密データへのアクセス／変更が可能になり、セキュリティ・アプライアンスとしての整合性を損なうリスクを引き起こします。ご利用のチームは、ご注意ください。よろしければ、Palo Alto Cortex XDR での検索結果も、ご参照ください。