【CVE-2026-0257】Palo Alto PAN-OS GlobalProtect の認証バイパス脆弱性を解説と対応方法

CVE・脆弱性情報

⚠️ 概要

CVSSスコア 9.1（Critical）・緊急対応が必要です。

Palo Alto Networks の PAN-OS に搭載された GlobalProtect ポータル/ゲートウェイに、認証バイパスの脆弱性（CVE-2026-0257）が確認されました。
未認証の攻撃者がVPNセッションを不正に確立できるため、リモートアクセス環境に深刻な影響を与えます。
CISA の既知悪用脆弱性カタログ（KEV）に掲載済みで、2026年5月17日以降、実際の攻撃が観測されています。

この脆弱性について

項目 内容
CVE-ID CVE-2026-0257
CVSSスコア 9.1（Critical）
公開日 2026年5月（CISA KEV追加：2026年5月31日・期限：6月1日）
対象製品 Palo Alto Networks PAN-OS、Prisma Access
影響を受けるバージョン PAN-OS 10.2.x（10.2.7-h32 / 10.2.10-h31 / 10.2.13-h18 未満）
PAN-OS 11.1.x（11.1.6-h29 / 11.1.14-h3 未満）
PAN-OS 11.2.x（11.2.7-h13 / 11.2.11-h6 未満）
悪用確認 あり（2026年5月17日以降、Rapid7 MDR が観測）

Panorama 管理アプライアンスおよび Cloud NGFW は本脆弱性の影響を受けません。

原因

この脆弱性は、GlobalProtect の「認証オーバーライド（Authentication Override）」機能の実装ミスに起因します。

認証オーバーライドは、一度認証に成功したユーザーに対してセッションCookieを発行し、以降の認証を省略する非デフォルトの機能です。
このCookieは証明書を使って暗号化・復号されますが、その証明書がポータル/ゲートウェイのHTTPSサービスと共有されている場合、攻撃者はHTTPS証明書の公開鍵情報を取得したうえで偽造Cookieを作成できてしまいます。

攻撃の流れを整理すると次のようになります。

  1. 攻撃者がターゲットの GlobalProtect ポータルにアクセスし、TLS証明書を取得する
  2. 認証オーバーライドCookieの暗号化に使われている証明書が同一であることを確認する
  3. 偽造した認証オーバーライドCookieを作成し、GlobalProtect ゲートウェイに送信する
  4. ゲートウェイ側がCookieを正規のものとして受け入れ、VPNトンネルが確立される

つまり、認証をすることなく社内ネットワークへのVPN接続が可能になります。

影響範囲

影響を受ける環境

  • GlobalProtect ポータル・ゲートウェイで「認証オーバーライド」機能を有効にしている環境
  • 認証オーバーライドCookieの暗号化証明書を、ポータル/ゲートウェイのHTTPSサービスと共有している環境

認証オーバーライド機能はデフォルトでは無効です。
ただし、攻撃はリモートから未認証で実行可能なため、インターネットに公開されているGlobalProtectポータルは特に注意が必要です。

悪用された場合のリスク

Rapid7 MDR の調査によると、実際の攻撃では以下のような手口が確認されています。

  • ローカル管理者アカウントをターゲットにした偽造Cookieを使い、GlobalProtect ゲートウェイへの認証をバイパス
  • 不正なVPNトンネルを確立し、企業ネットワーク内への侵入口を確保
  • 侵入後の横展開（ラテラルムーブメント）による内部システムの探索・情報窃取

GlobalProtect は多くの企業でリモートアクセスの入口となっているため、この脆弱性を悪用されると実質的にファイアウォール内部へのフルアクセスを許してしまう可能性があります。

対応策・回避策

推奨対応：パッチ適用（最優先）

各バージョンの修正済みリリースへアップグレードしてください。

現行バージョン系統 修正済みバージョン
PAN-OS 10.2.x 10.2.7-h32 以降、または 10.2.10-h31 以降、または 10.2.13-h18 以降
PAN-OS 11.1.x 11.1.6-h29 以降、または 11.1.14-h3 以降
PAN-OS 11.2.x 11.2.7-h13 以降、または 11.2.11-h6 以降

アップグレードは Palo Alto Networks の公式ドキュメントに従って実施してください。

回避策：認証オーバーライドCookieの証明書を分離する

パッチ適用が即座に困難な場合、以下の回避策を検討してください。

GlobalProtect の「認証オーバーライド」機能で使用する証明書を、ポータル/ゲートウェイのHTTPSサービスとは別の専用証明書に変更します。
これにより、攻撃者がHTTPS証明書から鍵情報を取得してもCookieの偽造が困難になります。

設定変更の概要（PAN-OS GUI）:
1. Network > GlobalProtect > Portals / Gateways を開く
2. 対象のポータル/ゲートウェイを選択し、Authentication タブを開く
3. Cookie Authentication Override セクションで、専用の証明書を選択（または新規作成）
4. ポータルとゲートウェイの両方で設定を変更し、コミットする

認証オーバーライドを無効化する（暫定）

機能を利用していない場合はオフにすることが最も確実です。

# PAN-OS CLI で認証オーバーライドの設定確認
> show config running | match "cookie-profile"

# GUI: Network > GlobalProtect > Portals > Authentication タブ
# "Generate cookie for authentication override" のチェックを外す

確認方法

自環境に認証オーバーライドが有効になっているか確認するには、以下のCLIコマンドを使用します。

# PAN-OS CLI（管理コンソールに接続後）
admin@PA-VM> show config running | match "cookie-profile"

# 出力例（有効な場合）
    <cookie-profile>Cookie_Profile_Name</cookie-profile>

出力がある場合、認証オーバーライドが有効になっています。
さらに、そのプロファイルで使用している証明書をHTTPSサービスと共有していないかを確認してください。

# 使用中の証明書を確認
admin@PA-VM> show config running | match "ssl-tls-service-profile"

現在のPAN-OSバージョンを確認するには次のコマンドです。

admin@PA-VM> show system info | match sw-version
sw-version: 11.1.6-h28   # 例：修正済みバージョン未満の場合は要対応

まとめ

CVE-2026-0257 は、Palo Alto Networks PAN-OS の GlobalProtect に存在する認証バイパスの脆弱性です。
CVSS 9.1 の緊急レベルであり、CISA KEVへの掲載・実際の攻撃観測済みという三拍子がそろっています。
認証オーバーライド機能を使用している環境は早急にパッチを適用してください。
機能を使用していない場合でも、念のためバージョン確認と設定見直しを推奨します。
Panorama や Cloud NGFW は影響を受けません。

参考リンク

  • NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-0257
  • Palo Alto Networks セキュリティアドバイザリ: https://security.paloaltonetworks.com/
  • CISA KEV: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
  • The Hacker News 解説記事: https://thehackernews.com/2026/05/pan-os-globalprotect-authentication.html

コメント