Trusted Design

解説:

1. 脆弱性の概要

CVE-2026-0257 は、Palo Alto Networks PAN-OS の GlobalProtect ポータルおよびゲートウェイに存在する認証バイパス脆弱性。 攻撃者は 認証を経ずに VPN 接続を確立できる。

この脆弱性は ネットワーク経由で悪用可能で、認証不要・ユーザー操作不要。

1.1 影響

• 攻撃者が 認証なしで GlobalProtect VPN 接続を確立
• 内部ネットワークへのアクセスが可能
• Rapid7 によると、実際に 複数顧客環境で悪用が確認

1.2 深刻度

• CVSS 4.0：7.8（High）
• Palo Alto Networks は Urgency: HIGHEST と分類

2. 対象となる環境

2.1 影響を受ける OS / バージョン

Palo Alto Networks 公式が示す影響バージョン：

製品	影響バージョン	非影響バージョン
PAN-OS 12.1	< 12.1.4-h6, < 12.1.7	≥ 12.1.4-h6, ≥ 12.1.7
PAN-OS 11.2	< 11.2.4-h17, < 11.2.7-h14, < 11.2.10-h7, < 11.2.12	それぞれの修正版以上
PAN-OS 11.1	< 11.1.4-h33, < 11.1.6-h32, < 11.1.7-h6, < 11.1.10-h25, < 11.1.13-h5, < 11.1.15	それぞれの修正版以上
PAN-OS 10.2	< 10.2.7-h34, < 10.2.10-h36, < 10.2.13-h21, < 10.2.16-h7, < 10.2.18-h6	それぞれの修正版以上
Prisma Access	11.2.0 < 11.2.7-h13*, 10.2.0 < 10.2.10-h36*	修正版以上（順次アップグレード）

※ Panorama と Cloud NGFW は 非影響。

2.2 影響を受ける設定

以下の条件を満たす場合に影響：

• GlobalProtect portal または gateway が構成されている
• Authentication override cookie が有効
• 特定の証明書設定が存在

3. 影響を受けた時の兆候（IOC）

一次情報で確認されている兆候：

• 不審な GlobalProtect VPN セッションの確立
• 不明な IP / 地理位置からの VPN 接続

Rapid7 による観測：

• 2026/5/17 と 2026/5/21 に 2 回の攻撃波
• Cookie 認証後に VPN IP が割り当てられたケース

4. 推奨対策

4.1 本対策（恒久対策）

Palo Alto Networks が推奨する恒久対策：

• 影響バージョンをすべて修正版へアップグレード
  （例：12.1 系は 12.1.4-h6 以上）

• すべての GlobalProtect ポータル / ゲートウェイ設定を確認し、認証 override cookie の設定を見直す

• すでに悪用が確認されているため、緊急パッチ適用が必須（Urgency: HIGHEST）

4.2 暫定回避策（緩和策）

Palo Alto Networks / The Hacker News が示す暫定策：

• Authentication override cookie を無効化
• Authentication override 用に専用証明書を再生成して使用

追加観点

• 実際の悪用状況
  

  • Palo Alto Networks は 限定的な悪用を確認
  • Rapid7 は 複数顧客環境で成功した攻撃を確認

• 脆弱性の技術的特徴
  

  • 認証状態の検証不備（CWE-565: Cookie の完全性検証不足）
  • 攻撃者は 認証なしで VPN セッションを確立可能