概要
Palo Alto NetworksのセキュリティチームUnit 42は、PAN-OSのGlobalProtectポータル/ゲートウェイに存在する認証バイパス脆弱性CVE-2026-0257が、複数のランサムウェア集団によって実際に悪用されていると報告した。この脆弱性は、適切な認証を経ずに不正なVPN接続を確立できるというもので、多要素認証(MFA)による保護を回避してしまう点が特に深刻だ。脆弱性は2026年5月に公表され、同月13日にはCISAの既知の悪用脆弱性(KEV)カタログに追加、5月29日には実証コード(PoC)が公開された。その後6月以降、攻撃グループによる実悪用が確認されている。
攻撃の実態と対象業界
Unit 42が特定した攻撃者には、Qilinの別名で知られるSpikey Scorpius、Incの別名を持つTarnished Scorpius、Settraランサムウェアの運営者が含まれる。狙われている業界は教育、金融サービス、医療、テクノロジー、宿泊、製造、法律サービス、政府機関、運輸、公共事業、小売など広範囲にわたり、業種を問わない無差別な侵入が続いている。侵入後の典型的な手口としては、リモート監視管理(RMM)ツールを用いた内部ネットワークの偵察、RDPやSMBを使った横移動、認証情報の窃取とデータ持ち出し、そして最終的なランサムウェア展開という流れが確認されている。特に注目すべき最近の傾向として、攻撃者がvCenterなどの仮想化基盤に直接侵入し、ESXiのセキュリティ機能を無効化した上でドメインコントローラーの仮想ディスクからオフラインで認証情報をダンプする手法が挙げられる。この手法はエンドポイント検知システムを素通りしてしまうため、従来のEDR中心の防御が効きにくいという課題がある。
侵害の痕跡と対策
同ブリーフでは、悪性IPアドレス群(23.128.228.6、104.207.144.154、146.19.216.119、146.19.216.120、146.19.216.125など)やPoCに紐づく特徴的なホスト名・MACアドレスといった侵害指標(IOC)も公開されている。Palo Alto Networksは、該当製品を利用する組織に対し、提供済みのセキュリティパッチの適用または回避策の実施を急ぐよう呼びかけている。加えて、GlobalProtectのログをIOCと照合して過去の侵害を遡って確認すること、管理インターフェースがポート4443・3879経由で意図せずインターネットに露出していないかInterface Managementプロファイルの設定を見直すことを推奨している。Cortex Xpanseによる公開PAN-OSゲートウェイの検出や、Advanced URL Filtering・Advanced IP Defenseによる悪性IPの遮断、Cortex XDR/XSIAMによるエンドポイント防御の活用も有効な対策として挙げられている。
PoC公開から約5か月を経てもなお悪用が拡大している点は、パッチ適用の遅れが依然として大規模な被害につながることを改めて示している。VPN境界の突破だけでなく仮想化基盤そのものを標的にする手口への移行は、境界防御とエンドポイント検知だけでは不十分であることを浮き彫りにしており、ネットワーク境界機器のパッチ管理と仮想化環境の監視強化を同時に進める必要性が高まっている。