Palo Alto Networks の VPN 脆弱性 CVE-2026-0257 を悪用：ReliaQuest が侵害指標を公開

Ransomware Hackers Exploit Palo Alto Networks GlobalProtect VPN Authentication Bypass Vulnerability

2026/10/12 gbhackers — Palo Alto Networks の PAN-OS GlobalProtect／Prisma Access に影響を及ぼす認証バイパスの脆弱性 CVE-2026-0257 を、ランサムウェア攻撃者が積極的に悪用している。Qilin／Settra など、複数のランサムウェア関連グループによる悪用を、ReliaQuest が確認している。この脆弱性の悪用に成功した攻撃者たちは、不正な VPN セッションを確立し、内部ネットワークへ侵入している。

これらの攻撃は、疑わしい外部接続だけに依存せず、信頼されたリモートアクセス経路を悪用しているため、侵入者の活動が正規のリモートワークと似たものになる。その結果、認証情報の窃取／内部ネットワークでの横展開／データの外部流出／ランサムウェアの展開といった段階に進むまで、検出が遅れる可能性がある。

Palo Alto Networks 製品の VPN に存在する脆弱性

この脆弱性に関する Palo Alto Networks の説明は、GlobalProtect のポータル／ゲートウェイ・コンポーネントに影響する認証バイパスの問題であり、悪用に成功した攻撃者による、認証処理の回避と VPN 接続が可能になるというものだ。ただし、悪用に際しては、認証オーバーライド Cookie の有効化に加えて、特定の証明書設定が使用されていることが条件となる。なお、Panorama および Cloud NGFW は影響を受けないため、GlobalProtect が導入されていても、必ずしも脆弱な状態にあるとは限らない。

管理者にとって必要なことは、ベンダーのセキュリティ・アドバイザリに従い、ポータルとゲートウェイの設定を確認することである。問題のある認証メカニズムを悪用する攻撃者は、通常の認証プロセスを完了せずにネットワークへのアクセス権を得られるため、この確認が重要となる。

ReliaQuest が確認しているのは、関連する攻撃活動で Cobalt Strike／BloodHound／SharpHound が使用されていることであり、それにより、不正な VPN アクセスを介して、認証情報の窃取／内部ネットワークでの横展開／データの窃取／ランサムウェアの展開に至る恐れがあると警告している。ただし、これら 3 つのツールが、すべての侵入で悪用されるわけではなく、攻撃が必ず同じ順序で進むわけでもない。

調査担当者は、ホスト名が確認された「kali」などのセッションを含め、予期しない GlobalProtect 接続を詳しく調べる必要がある。ReliaQuest が調査上の手がかりとして示しているホスト名は、特定の攻撃者による活動であることを断定するための、決定的な証拠として扱うべきではなく、接続履歴などの証拠と併せて評価する必要がある。

ユーザー組織にとって必要なことは、影響を受ける環境を可能な限り早急にアップグレードした上で、認証オーバーライド Cookie が不要な環境では、それを無効化することだ。さらに ReliaQuest は、パッチ適用後にすべての有効な GlobalProtect セッションを終了し、予期しない接続を調査することを推奨している。脆弱なソフトウェアの更新だけでは、修正前に攻撃者が確立したアクセスを排除できない可能性があるため、脆弱性の修正と不正アクセスの排除を併せて進めることが重要である。

インシデント対応では、外部に公開された VPN の設定と、すでに攻撃者が確立している可能性のあるセッションの両方に対処する必要がある。

ランサムウェア・グループやイニシャル・アクセス・ブローカー (IAB) がパッチ未適用のシステムを標的にしていることから、今後の 3ヶ月間は、この脆弱性が悪用される可能性が高いと、ReliaQuest は評価している。

侵害指標 (IoC)

ReliaQuest は、以下の侵害指標を公開している。ただし、公開情報では各指標の具体的な役割は説明されておらず、最後の項目も単一の IP アドレスとして記載されているため、特定のサブネットを示すと推定して対象範囲を拡張すべきではない。報告された VPN の活動と併せて、これらの指標を調査に活用する必要がある。

指標種別
216.245.184[.]150IPv4 アドレス
216.245.184[.]47IPv4 アドレス
216.245.184[.]110IPv4 アドレス
216.245.184.0IPv4 アドレス

注記：IP アドレスやドメインは、意図しない名前解決やハイパーリンク化を防ぐため、意図的に無害化 (デファング) されている (例：[.])。元の形式に戻す (リファング) 操作は、MISP／VirusTotal／SIEM など、管理された脅威インテリジェンス・プラットフォーム内でのみ実施すること。

この記事では、Palo Alto Networks の GlobalProtect VPN の認証バイパスの脆弱性 CVE-2026-0257 が取り上げられています。認証処理を回避した不正な接続の確立を許すため、複数のグループによる悪用が生じています。影響として、認証情報の窃取／内部ネットワークでの横展開／データの外部流出／ランサムウェアの展開につながる恐れがあります。対応策として、製品の更新や設定の確認、不要な認証オーバーライド Cookie の無効化、既存セッションの終了が求められます。