Palo Alto NetworksはPAN-OS GlobalProtectの脆弱性が積極的に悪用されていると発表
企業向けVPNに対する積極的な攻撃
Palo Alto Networksは、PAN-OSのGlobalProtectに存在する認証バイパスの脆弱性が攻撃者により積極的に悪用されており、企業端末で不正なVPN接続を確立できる可能性があると警告しています。
この脆弱性はCVE-2026-0257として追跡されており、今月初めに修正パッチが公開されました。Palo Altoは当初、本脆弱性の深刻度を中程度と評価しており、悪用には認証オーバーライドクッキーが有効化されていることと特定の証明書構成が必要だと説明していました。金曜日に同社はアドバイザリを改訂し、緩和策が適用されていない未修正のPAN-OS機器に対する限定的な悪用試行を確認したとして、深刻度を高に引き上げました。
「PAN-OSソフトウェアのGlobalProtectポータルおよびゲートウェイは、攻撃者がセキュリティ制限を回避して不正なVPN接続を確立することを可能にします」と同社はアドバイザリで述べています。
この更新は、Rapid7からの別の警告を受けたものです。Rapid7は5月17日以降、多数の顧客環境での成功した悪用を観測したと報告しました。Rapid7は影響を受けた機器からの横移動（lateral movement）の成功例は確認していないとしていますが、同脆弱性は2026年5月29日付でCISAの既知の悪用脆弱性カタログに追加されたと指摘しています。
Rapid7によると、攻撃者は偽造した認証オーバーライドクッキーを使用してGlobalProtectゲートウェイへの認証を行い、ローカル管理者アカウントを標的にしていました。同社は、最初の悪用は5月18日にVultrがホストするインフラから行われ、その後5月21日にDromatics Systems発の第2波が確認されたと述べています。
一部のケースでは、攻撃者は偽造クッキーを用いてVPN経由で機器に接続し、内部ネットワークへのアクセスを得ることに成功しました。他の事例では、装置は偽造クッキーを受け入れたものの、完全なVPNセッションは確立できませんでした。
Rapid7は、影響を受けた機器はGlobalProtectの認証オーバーライドクッキーが有効化されており、攻撃者が有効なクッキーを偽造できるような設定になっていたと述べています。問題の根本はPAN-OSの検証プロセスにあり、VPN装置が設定された秘密鍵でクッキーを復号し、復号した内容を署名検証を行わずに信頼してしまう点にあります。同じ証明書がHTTPSサービスと認証オーバーライドクッキーの双方に使われている場合、攻撃者はHTTPSセッションを通じて公開鍵を入手し、それを使って装置が正当とみなすクッキーを作成できてしまいます。
出典:
Doppler VPN: 6箇所のサーバーロケーション、VLESSプロトコル、追跡なし。無料で始める.