Palo AltoのVPNに認証回避の穴 CVE-2026-0257、攻撃発生中で即更新を

企業の社員が自宅や外出先から社内ネットワークへ入るために広く使われているPalo Alto Networksの「GlobalProtect」VPNに、正規のIDやパスワードを一切持たない攻撃者でも社内ネットへ接続できてしまう脆弱性が見つかりました。番号はCVE-2026-0257。すでに実際の攻撃に使われていることが確認され、米国土安全保障省のサイバー部門CISAが2026年5月29日、これを「悪用が確認された脆弱性カタログ（KEV）」に追加し、米連邦機関に6月1日までの修正を命じました。

問題があるのは、これらのVPN機能を動かしている基本ソフト「PAN-OS」です。PAN-OSは、Palo Alto Networks製のファイアウォール（社内外の通信を仕分ける関所のような機器）を動かすOSで、その上で社外からの安全な接続を受け付ける窓口がGlobalProtectです。CVE-2026-0257は、この窓口の本人確認を回避し、攻撃者が許可されていないVPN接続を確立できるという認証バイパス（本人確認のすり抜け）の欠陥です。

深刻度は評価機関によって割れています。Palo Alto Networks自身は新しい基準「CVSS 4.0」で7.8（重要）、米国立標準技術研究所（NIST）は従来の「CVSS 3.1」で9.1（緊急）と評価しています。数字の高低はさておき、決定的なのは「すでに攻撃が起きている」という一点です。セキュリティ企業Rapid7は、5月中旬から複数の顧客環境でこの脆弱性を突く攻撃を観測したと報告しています。

偽の入館証で社内ネットに入られる、その先で持ち去られるもの

「VPNに不正接続される」と言葉で聞いても、自分の会社のどこがどう危ないのか想像しにくいので、攻撃者が何を目当てにこの穴へ手を伸ばすのかを先に描いておきます。VPNは、社外にいる社員を社内ネットワークの内側へ通すための入口です。そこを正規の社員になりすまして通れるということは、攻撃者が会社の建物の中に、誰の許可も得ずに立っている状態を作れるということです。

この入口を本気で欲しがるのは、好奇心で動く愉快犯ではありません。社内に入った足場を他の犯罪グループに売りさばく初期アクセスブローカー、その足場を買ってファイルを暗号化し身代金を要求するランサムウェアの実行犯、競合他社に設計図や見積もりを横流しする産業スパイ、国家の指示で機密を抜きにくる中国・ロシア・北朝鮮系の攻撃グループ、盗んだ社員アカウントを闇市場で転売する業者です。彼らがVPNの内側で探すのは、ファイルサーバに置かれた顧客名簿と契約書、人事データベースの給与・マイナンバー、経理システムの振込画面、社員全員のパスワードを束ねるActive Directory、そして次の侵入に使える管理者アカウントです。偽造した接続用Cookieがゲートを通った瞬間、攻撃者は会社の外から社内LANのまっただ中に降り立ち、上に並べたものへ片端から手を伸ばし始めます。

VPN機器やファイアウォールは、社内と社外を隔てる「境界の信頼点」です。だからこそ攻撃者にとって価値が高く、ここを一枚突破できれば、内側での横移動（ラテラルムーブメント）も、長期間気づかれずに居座る常設の足場づくりも、一気にやりやすくなります。Palo AltoのGlobalProtectは過去にも、2024年に認証なしで遠隔操作を許すCVE-2024-3400という重大なゼロデイが国家系の攻撃グループに悪用された経緯があり、この製品の入口が攻撃者から繰り返し狙われる「一級の標的」であることは実証済みです。今回の認証バイパスは、その狙いどころに新しい鍵穴をもう一つ開けてしまった格好です。

ベンダーが付けた7.8、NISTが付けた9.1という数字は、あくまで技術的な深刻度の目盛りにすぎません。会社にとって本当に失われるのは、在宅勤務のために導入したVPNが、そっくりそのまま外部の犯罪グループの「合鍵付きの通用口」に変わり、顧客データの流出・基幹システムの暗号化・取引先への二次被害という形で、事業そのものが止まりかねないことです。リモートワークの利便性を支えていた装置が、最短経路の侵入口に反転する——それがこの脆弱性の本当の重さです。

PAN-OSとGlobalProtectとは何か

Palo Alto Networksは、企業向けのネットワークセキュリティ機器で世界最大手の米国企業です。代表的な製品が「次世代ファイアウォール」と呼ばれる関所のような装置で、社内と社外の間に置いて通信を仕分け、危険な通信を遮断します。この装置を動かしている基本ソフトがPAN-OSです。

その上で動くGlobalProtectは、社外にいる社員が社内ネットワークへ安全に接続するためのVPN機能です。在宅勤務や出張先からのアクセスを支える仕組みで、社員はパソコンやスマホに専用アプリを入れ、本人確認を経て会社のネットワークに入ります。新型コロナ以降のリモートワーク普及で、日本でも多くの企業・官公庁・大学がこの種のVPNを導入しており、Palo AltoのGlobalProtectはその有力な選択肢の一つです。

本人確認の窓口には2つの役割があります。最初にアクセスを受け付ける「ポータル」と、実際にVPNトンネルを張る「ゲートウェイ」です。今回の脆弱性は、この両方に影響します。なお、複数のファイアウォールを束ねて管理するPanoramaと、クラウド型ファイアウォールのCloud NGFWは影響を受けません。問題になるのは、自社や拠点で実機（または仮想アプライアンス）としてPAN-OSを動かし、GlobalProtectを有効にしている環境です。

何が起きるのか：偽のCookieが「本物」として通ってしまう

この脆弱性の正体は、GlobalProtectが持つ「認証オーバーライドCookie（authentication override cookie）」という仕組みの作りの甘さにあります。これは、一度ログインした利用者にCookie（ブラウザに渡される小さな合言葉データ）を発行しておき、次回以降はそのCookieを見せれば再ログインを省ける、という利便性のための機能です。社員の手間を減らすためのものですが、ここに落とし穴がありました。

Rapid7の技術解析によると、GlobalProtectがこのCookieの暗号化・復号に使っている証明書を、HTTPSの通信など別の機能と使い回している場合、攻撃者はその証明書の公開鍵を外から入手できてしまいます。公開鍵が手に入れば、攻撃者は任意の認証オーバーライドCookieを自分で偽造でき、その偽Cookieをサーバに送ると、サーバ側はそれを正しく復号して「本物」と信じ込み、本人確認を通してしまうのです。

脆弱性データベースNVDがこの欠陥をCWE-565（整合性検証のないCookie依存）に分類しているのは、まさにこの「中身が改ざんされていないか・本当に自分が発行したものかを十分に確かめずにCookieを信用していた」という点を指しています。攻撃に必要な前提は、ネットワーク越し・本人確認不要・特別な権限不要・利用者の操作不要と、ハードルが極めて低く、Palo Alto Networksも「攻撃の難易度は低い」と認めています。

逆に言えば、認証オーバーライドCookie機能を使っていない、あるいはCookie専用の証明書を分けている環境では、この経路は成立しません。ただし、SAML認証やクライアントレスVPNなどで認証オーバーライドCookieを使う構成は珍しくないため、「うちは大丈夫」と思い込まず、後述の設定確認を行うことを強くおすすめします。

影響を受けるバージョンと修正版

Palo Alto Networksの公式アドバイザリによると、影響と修正版はPAN-OSのバージョン系統ごとに次の通りです。自社のバージョンを確認し、同じ系統の修正版以降へ更新します。

同じ系統でも複数の修正版が並んでいるのは、各系統の中でさらに細かい保守ブランチが分かれているためです。自社が使っているブランチに対応する修正版（または、それより新しいバージョン）を選びます。バージョンの確認方法や対応する修正版の対応表は、公式アドバイザリの一覧が正確です。なお、クラウド型のCloud NGFWと、管理用のPanoramaは影響を受けないとされています。

すでに攻撃は起きている：Rapid7の観測

この脆弱性が「理論上の危険」にとどまらないことは、Rapid7のマネージドサービス（MDR）の観測が示しています。Rapid7は2026年5月17〜18日に最初の攻撃を検知し、複数の顧客環境でローカル管理者アカウントへの不審なCookie認証が行われていることを確認しました。技術サポートファイルを解析したところ、クラウド認証サービス（CAS）が無効で、認証オーバーライドCookieが有効になっているという、まさに脆弱な構成だったといいます。Rapid7 Labsが実証コード（PoC）の成功を確認し、CVE-2026-0257の悪用であると裏付けました。

さらに5月21日には第2波の攻撃が観測されました。この波では、Cookie認証の成功に続いてVPN用のIPアドレスが攻撃者に割り当てられ、社内ネットワークへのアクセスが成立していたとされます。ただしこの段階まで進んだのは一部の環境で、影響を受けた10社のうち8社では「偽Cookieが受理されたものの、完全なVPNセッションの確立までは至らなかった」と報告されています。それでも、認証の壁が破られていた事実は変わりません。Rapid7は、両方の波で攻撃者が使ったMACアドレスが共通していたことから、同一の攻撃者によるものと見ています。

投稿しているのは、Rapid7の主席セキュリティ研究者であるStephen Fewer氏です。攻撃の出どころとして、Rapid7はホスティング事業者Vultr（104.207.144.154）やDromatics Systems（146.19.216.119／120／125）のIPアドレスを挙げています。後述の確認作業で、これらのIPからのアクセスやログイン痕跡がないかを点検する価値があります。

開示から悪用、米政府の命令までの流れ

← スワイプで移動

攻撃を受けていないか確認する手がかり

Rapid7が公開した侵害指標（IoC：攻撃の痕跡を見つける手がかり）を使えば、すでに狙われていないかをある程度点検できます。GlobalProtectのログやVPN接続記録に、次のような痕跡がないか確認します。

特に注意したいのは、ローカル管理者アカウントに対するVPN認証の成功や、見覚えのない端末名・MACアドレスからのGlobalProtect接続です。これらが過去のログに見つかった場合、すでに侵入されている可能性があるため、パッチ適用と並行してインシデント対応の手順に移る必要があります。なお、上に挙げたIPアドレスやMACアドレスはあくまで一例で、別の送信元から攻撃が来る可能性は十分にあります。

いますぐやるべきこと

1. PAN-OSを修正版へ更新する。 自社が使っているPAN-OSの系統に対応する修正版（前掲の表）以降へアップグレードします。すでに攻撃が観測され、米政府が6月1日の期限を切っている案件のため、これが最優先かつ恒久対策です。バージョンの確認と修正版の対応は公式アドバイザリに従います。

2. すぐに更新できない場合は緩和策を適用する。 Palo Alto Networksは2つの暫定回避策を案内しています。ひとつは認証オーバーライドCookie専用の証明書を発行し、他機能と共用しないこと。もうひとつは認証オーバーライド機能そのものを無効化することです（GlobalProtect設定で「Cookieの生成」「Cookieの受け入れ」のチェックを外します）。証明書の使い回しを断つだけでも、Cookie偽造の前提を崩せます。

3. 過去のログを遡って点検する。 少なくとも5月13日（公開日）以降、できれば5月中旬以降のGlobalProtectログとVPN接続記録を確認します。前掲のIoC、ローカル管理者の不審なログイン、見覚えのない端末名やMACアドレスがないかを点検します。痕跡が見つかった場合は侵害を前提に対応します。

4. 管理画面とVPNの公開範囲を見直す。 GlobalProtectのポータル／ゲートウェイがインターネットに直接公開されている以上、攻撃面はゼロにはできませんが、管理インターフェース（Web UI）を社内や特定IPからのみアクセス可能にする、不要な公開設定を絞るといった基本の見直しは、今回に限らず有効です。

5. 認証情報をローテーションする。 侵害の可能性が否定できない場合、VPNにひも付くアカウントのパスワードや、GlobalProtectのローカル管理者の資格情報を再発行します。攻撃者がすでに内側に入っていた場合、パッチだけでは追い出せないためです。

CISA KEV登録の意味とハブ記事連動

CISAの悪用が確認された脆弱性カタログ（KEV）は、「実際に攻撃で使われている」とCISAが確認した脆弱性だけが載るリストです。ここに載るということは、理論上の危険ではなく現在進行形の脅威であることを意味し、米連邦機関には法的な修正義務が生じます。CVE-2026-0257は2026年5月29日に登録され、期限は6月1日。日本企業に法的拘束力はありませんが、「攻撃が起きていて、米政府が数日の期限を切った」という事実は、国内のIT部門にとっても対応を急ぐ十分な根拠になります。

本サイトでは、攻撃中とCISAが認定したCVEの一覧と修正期限をCISA KEVダッシュボード（日本語版）で随時更新しています。今回のPalo Alto Networks PAN-OSの案件も、過去にKEV登録されたVPN・ファイアウォール機器（Citrix、Ivanti、Cisco、Fortinetなど）と並ぶ「境界機器の認証回避」という典型パターンに当てはまります。境界に置いた1台が破られると社内全体が危険にさらされる構図は、これらの製品に共通しています。

Palo AltoのGlobalProtectは、2024年のCVE-2024-3400でも国家系の攻撃グループに悪用された実績があり、攻撃者にとって繰り返し狙う価値のある標的であり続けています。VPNやファイアウォールは「入れておけば安全」な装置ではなく、公開している以上、最優先で更新し続けるべき装置だという前提で運用するのが、今回の事案からの実務的な教訓です。

参照元

• ▸ NVD - CVE-2026-0257
• ▸ Palo Alto Networks 公式アドバイザリ - CVE-2026-0257
• ▸ Rapid7 - Observed Exploitation of PAN-OS GlobalProtect Authentication Bypass Vulnerability (CVE-2026-0257)
• ▸ CISA - Known Exploited Vulnerabilities Catalog
• ▸ Stephen Fewer（Rapid7）のX投稿
• ▸ Palo Alto Networks - GlobalProtect 製品ページ
• ▸ NVD - CVE-2024-3400（2024年のGlobalProtectゼロデイ）