Qilinランサムウェア、PAN-OSの認証バイパス脆弱性CVE-2026-0257を悪用し企業ネットワークに侵入

概要

セキュリティ企業Arctic Wolf Labsは、ランサムウェアグループ「Qilin」が Palo Alto Networks の PAN-OS GlobalProtect に存在する認証バイパスの脆弱性 CVE-2026-0257(CVSSスコア7.8)を悪用し、複数の企業ネットワークへ初期侵入を行っていると報告した。同社が2026年6月に調査した複数の侵入事例では、攻撃者がこの脆弱性を突いて有効な認証情報なしでVPNセッションを確立し、その後横展開やデータ窃取、ランサムウェア配置へと進んでいたことが確認されている。

脆弱性の技術的詳細

CVE-2026-0257は、PAN-OSのポータルおよびゲートウェイコンポーネントに存在する認証バイパスの脆弱性である。認証オーバーライド用のクッキーが有効化されており、かつ特定の証明書設定が組み合わさっている環境では、認証されていないリモートの攻撃者が認証プロセスを回避し、正規の認証情報を持たないまま VPN セッションを確立できてしまう。この脆弱性はすでに修正されているとされるが、記事内では具体的な修正パッチのバージョン番号や適用手順、緩和策についての詳細は明らかにされていない。

侵入後の攻撃手法

Arctic Wolfの分析によると、攻撃者は認証バイパスによってVPNセッションを確立した後、PsExecや管理共有を利用して社内ネットワーク内を横展開し、管理者アカウントを悪用していた。ランサムウェア本体の展開に際しては C:\PerfLogs\ ディレクトリにファイルをステージングする手口が確認されており、さらにイベントログの削除やWindows Defenderのリアルタイム保護の無効化といった防御回避の手法も併用されていた。

侵入後の行動パターンは事例によって幅があり、データ持ち出しを伴わない全社的な暗号化のみで終わるケースから、大規模な資格情報窃取を経てダブルエクストーション(二重恐喝)に至るケースまで多様であったという。データ持ち出しにはRclone、Proton Drive、FileZillaといったツールが、リモートアクセスの確保にはAnyDesk、Ngrok、LogMeInといったツールがそれぞれ使用されていたことも確認されている。

背景と今後の展望

Arctic Wolfは、こうした戦術のばらつきについて、Qilinがランサムウェア・アズ・ア・サービス(RaaS)の運用モデルを採っており、複数のアフィリエイトが共通の初期アクセス基盤とランサムウェアツールを共有しつつ、それぞれ独自に好むポストエクスプロイト手法を適用している可能性があると指摘している。これはRaaS型のランサムウェア集団に共通する特徴であり、単一の脆弱性の悪用であっても侵入後の挙動から画一的な攻撃者像を描くことが難しいことを示している。PAN-OS GlobalProtectを利用する組織においては、該当する認証オーバーライド設定の見直しや最新の修正状況の確認など、早急な対応が求められる。