何が起きているか
ランサムウェアグループが、Palo Alto Networks の PAN-OS GlobalProtect と Prisma Access の 認証回避の脆弱性 CVE-2026-0257 を積極的に悪用しています。2026年10月11日 に公表された ReliaQuest の更新情報によると、Qilin や Settra を含む 複数の攻撃者 が、この欠陥を使って 不正な VPN セッション を確立し、社内ネットワークに侵入しています。
脆弱性自体は新しくありません。2026年5月13日 に公表され、CVSS は 7.8(High)、ベンダーは最高レベルの対応緊急度を推奨していました。変わったのは、以前確認された Qilin だけでなく 複数のグループに悪用が広がった ことです。
仕組み
- 問題は GlobalProtect の 認証オーバーライド Cookie にあります。ポータルとゲートウェイ間の再認証に使うものですが、適切な検証や完全性チェックなしに Cookie を信頼する ことが欠陥につながっています
- Cookie が 有効 で、かつ 特定の証明書構成 の場合のみ影響を受けます。すべての環境が脆弱なわけではありません
- 影響を受けるもの: PAN-OS 12.1、11.2、11.1、10.2、Prisma Access 11.2、10.2。Panorama と Cloud NGFW は影響なし
なぜ危険か
攻撃者は 企業自身の VPN から 入ってきます。通信は通常のリモートワークに見えるため、認証情報の窃取、横展開、ランサムウェアの準備に時間を与えてしまいます。ReliaQuest は、暗号化前の Active Directory 偵察に典型的な Cobalt Strike、BloodHound、SharpHound の活動も確認しました。
ReliaQuest は、今後3か月もランサムウェアグループや初期アクセスブローカーによる悪用が続く可能性が 非常に高い とみています。
対策
- 社内外のすべての GlobalProtect ポータルとゲートウェイを 修正版へ更新。メジャーバージョンだけでなく、アドバイザリの 修正バージョン表 で正確に確認する。ハイブリッドの Prisma Access ではオンプレミスのファイアウォールも更新
- 不要なら オーバーライド Cookie を無効化
- Cookie 用には 新しい専用の証明書 を使う。ポータル/ゲートウェイや他サービスの証明書を使い回さない
- パッチ適用後は すべての GlobalProtect セッションを切断。パッチでは既存のアクセスは消えません。ユーザーは再認証が必要です
- ホスト名「kali」の端末(手がかりであって証拠ではない)など 想定外の接続を調査 し、Cobalt Strike や SharpHound の痕跡を確認
- 更新が不完全だとコンポーネント間で Cookie の互換性問題 が起きるため、作業時間を計画する
教訓
2026年、VPN はランサムウェアの主要な入口です。6月の Check Point、9月の Citrix NetScaler、そして今回の GlobalProtect。VPN 接続に成功したことは正規ユーザーである証明にはなりません。接続後の動きを監視しましょう。
出典
- Cybersecurity News (2026-10-11): https://cybersecuritynews.com/palo-alto-globalprotect-flaw-vpn-access/
- Hackers Radar (2026-10-11): https://hackersradar.com/critical-palo-alto-globalprotect-cve-2024-3400-exploited-by-ransomware/
- Palo Alto Networks security advisories: https://security.paloaltonetworks.com/
VPN の安全性と不審なアクセスの検知を見直したいですか?KGA IT は無料相談を受け付けています:kga-it.com