Palo Alto PAN-OS の脆弱性 CVE-2026-0257：Qilin ランサムウェアが積極的に悪用

Hackers Exploiting Palo Alto’s PAN-OS Vulnerability to Deploy Qilin Ransomware

2026/07/21 CyberSecurityNews — Palo Alto Networks ファイアウォールに存在する重大な認証バイパス欠陥をアクティブに悪用する脅威アクターが、企業ネットワークへ侵入して Qilin ランサムウェアを展開していると、Arctic Wolf Labs が報告している。2026年6月を通じて複数の侵入を調査した同社は、それらすべてが同じ脆弱性を初期侵入口としていたことを確認した。

この脆弱性 CVE-2026-0257 (CVSS 7.8) は、PAN-OS の GlobalProtect ポータル／ゲートウェイに影響を及ぼすものだ。認証のオーバーライド Cookie が特定の証明書設定と一緒に有効化されている場合に発生する脆弱性であり、それを悪用する未認証の攻撃者がログイン制御を完全にバイパスし、正規に見える VPN セッションの確立を可能にする。

影響を受けるバージョンには、PAN-OS 12.1／11.2／11.1／10.2 (特定のパッチ適用済みビルドより前) と、特定の Prisma Access リリースが含まれる。限定的かつ積極的な悪用が実環境で発生していることを、Palo Alto Networks は確認している。

Arctic Wolf が確認した侵入では、侵害された VPN セッションを悪用する攻撃者が、被害組織のネットワークへ直接的／対話的にアクセスしていた。これにより、境界での認証が完全に迂回されていた。

PAN-OS の脆弱性が悪用される

内部に侵入した攻撃者は、高速に侵害を進めていった。

• アスタリスクと 6 文字のランダムな小文字という特徴的な命名パターンを持つレジストリ Run キーを使用して、永続化を確立した。
• AnyDesk／Ngrok／LogMeIn などのリモートアクセス・ツールを展開し、冗長な接続性を確保した。
• “rundll32.exe” と comsvcs.dll を悪用して LSASS メモリから認証情報をダンプし、出力を “.odt” ファイルに偽装して検出を回避した。
• “ntdsutil.exe” を介して Active Directory データベース全体を抽出し、ドメイン全体の認証情報アクセスを取得した。
• PsExec と管理共有 (C$) を使用し、ネットワーク全体でラテラル・ムーブメントを行った。

特筆すべきことに、一連の攻撃は、自身を “kali” というホスト名として識別するシステムから発生していた。また、初期の悪用と継続する VPN セッションの双方で、重複する IP アドレスが確認されており、Qilin アフィリエイト間でインフラやツールが共有されていることが示唆される。

侵入口と中核的な技術は安定していたが、悪用後の挙動は大きく異なっていた。一部の侵入では滞留時間が最小限の状態で、すぐに暗号化へ移行していた。その一方で、別の侵入では、広範な偵察／大規模な認証情報収集／ランサムウェア展開前の Rclone による MEGA クラウド・ストレージに対するデータ窃取が行われていた。

このばらつきは、共通のツールを使用する複数のアフィリエイトが、それぞれの戦略を適用する Ransomware-as-a-Service (RaaS) 運用における典型的なものである。

暗号化を発動する前に、攻撃者は常套手段として Microsoft Defender のリアルタイム保護を無効化し、PowerShell スクリプトを使用して Windows Event Logs を消去していた。このスクリプトは、Security／System ログだけでなく、システム上の全ログチャネルを消去するため、フォレンジック復旧は極めて困難になる。

ランサムウェア・ペイロード自体は、セキュリティ・ツールによる監視が少ない、既定の Windows ディレクトリ “C:\PerfLogs\” にステージングされる、”win.exe” という名前を一貫して持っていた。このペイロードの実行には、パスワード・パラメータが必要であり、サンドボックス分析を複雑にしていた。

戦術的なセキュリティ推奨事項

Arctic Wolf が推奨するのは、以下の項目の速やかな実施である。

• インターネットに公開された全 PAN-OS および Prisma Access デプロイメントにおいて、CVE-2026-0257 にパッチを適用する。
• パッチ適用後に、すべてのアクティブな GlobalProtect セッションを終了する。
• 悪用が疑われる場合には、KRBTGT アカウントを含む全ドメイン認証情報をローテーションする。
• “C:\PerfLogs” からの実行を監視／制限する。
• ローカルログが消去された場合でも証拠を保持できるよう、Windows Event Logs を集中型 SIEM へ転送する。

Arctic Wolf は、この脆弱性の悪用から Qilin ランサムウェア展開へ至る活動が継続中であると、中程度の信頼度で評価している。その背景から推測できるのは、RaaS モデルの特徴である広範なスキャン活動と、複数のアフィリエイトに配布されるエクスプロイトの存在である。

Palo Alto Networks の PAN-OS において、特定の証明書設定や認証機能の不備が重なり、ログイン手順をそのまま通り抜けることができる脆弱性 CVE-2026-0257 が判明しました。この欠陥を突く Qilin ランサムウェアが、外部から正規の接続になりすまして組織内に進入し、暗号化被害などを引き起こす危険が生じています。被害を防ぐための確実なアプローチは、製品に用意された修正プログラムを速やかに反映させることです。運用中の環境をご確認のうえ更新作業を進め、アクティブな接続の切断や認証パラメータの見直しを行って安全を確保する必要があります。