Palo Alto Networks PAN-OS の認証回避の脆弱性（CVE-2026-0257）

何が起きた

Palo Alto Networks の PAN-OS にある GlobalProtect のポータルとゲートウェイで、認証を回避できる弱点が見つかりました。悪用されると、本来の確認を通らずに VPN 接続を作られてしまいます。ネットワーク経由で、ログインしていない攻撃者が悪用できるとされています。メーカーも、修正や回避策を当てていない機器への攻撃の試みを確認しており、CISA の KEV でも悪用が確認されています。ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

PAN-OS で GlobalProtect のポータルかゲートウェイを使い、認証オーバーライドの Cookie を有効にしていて、特定の証明書の設定がある場合が対象です。影響を受けるのは PAN-OS 12.1、11.2、11.1、10.2 の各系列の修正前の版と、Prisma Access 10.2 と 11.2 の修正前の版です。Panorama と Cloud NGFW は影響を受けません。

何をすればいい

メーカーの表に沿って、修正版に更新してください。たとえば PAN-OS 12.1 は 12.1.7 以降、11.2 は 11.2.12 以降、11.1 は 11.1.15 以降、10.2 は 10.2.18-h6 以降などです（系列ごとに 12.1.4-h6 などの修正版もあります）。すぐ更新できない場合は、認証オーバーライドの Cookie 専用の証明書を新しく作るか、認証オーバーライドを無効にしてください。更新後は GlobalProtect の利用者が一度だけログインし直す必要があります。あわせてメーカーの公式の案内を確認してください。

やることチェックリスト

• PAN-OS を系列ごとの修正版に更新する
• 認証オーバーライドの設定が有効か画面で調べる
• 更新できなければ認証オーバーライドを無効にする

用語メモ

GlobalProtect

Palo Alto Networks の VPN の仕組みです。社外から会社のネットワークに安全につなぐために使います。

VPN

インターネット越しに、会社などのネットワークへ暗号化した通り道で安全につなぐ仕組みです。

認証オーバーライド

一度ログインした利用者に Cookie を渡し、しばらくの間はパスワード入力を省ける GlobalProtect の機能です。

ランサムウェア

データを暗号化して使えなくし、元に戻す代わりにお金を要求する悪意のあるプログラムです。