**Palo Alto Networks**は、PAN-OSのGlobalProtectポータルおよびゲートウェイに影響を与える脆弱性**CVE-2026-0257**に関するアドバイザリを更新しました。当初は中程度の深刻度と評価されていましたが、実際に悪用されていることから深刻度が引き上げられました。 ## 脆弱性：CVE-2026-0257 **CVE-2026-0257**として追跡されているこの脆弱性により、攻撃者はセキュリティ制限を回避し、不正なVPN接続を確立できます。**Palo Alto**のアドバイザリによると、この脆弱性はPAN-OSソフトウェアのGlobalProtectポータルおよびゲートウェイに存在します。 当初、この脆弱性の影響は、認証オーバーライドCookieが有効になっており、特定の証明書構成が必要であるという構成要件から、中程度の深刻度と見なされていました。 ## 実際の悪用と深刻度の引き上げ 金曜日、**Palo Alto Networks**はアドバイザリを改訂し、パッチが適用されていないデバイスでこの脆弱性が実際に悪用されていることを確認しました。これにより、深刻度評価が「高」に引き上げられました。 「Palo Alto Networksは、緩和策が適用されていないパッチ未適用のPAN-OSデバイスに対する限定的なエクスプロイトの試みを認識しています」と、更新されたアドバイザリは述べています。 ## Rapid7の観測 この更新は、**Rapid7**からの以前の警告と一致しており、同社は2026年5月17日から多数の顧客に対する悪用試行を観測していました。 「Rapid7 MDRは、多数の顧客でエクスプロイトの成功を特定しましたが、デバイスからのラテラルムーブメントの成功を示す兆候は観察されませんでした。観測されたエクスプロイトの最も早い日付は2026年5月17日でした」と、**Rapid7**は報告しています。 さらに、**Rapid7**は「2026年5月29日現在、この脆弱性は**CISA** KEVに追加されています」と述べています。 ## 攻撃の詳細 **Rapid7**によると、攻撃者は偽造された認証オーバーライドCookieを使用してGlobalProtectゲートウェイに認証を行い、ローカル管理者アカウントを標的にしています。エクスプロイトは、2026年5月18日に**Vultr**がホストするインフラストラクチャから最初に観測され、その後5月21日にDromatics Systemsから別の波が観測されました。 攻撃者が偽造されたCookieを使用して内部ネットワークへのVPN接続に成功することもありましたが、**Rapid7**は、アプライアンスが偽造されたCookieを受け入れたにもかかわらず、完全なVPNセッションを確立できなかったケースも指摘しています。 ## 原因分析 **Rapid7**の調査により、影響を受けたデバイスではGlobalProtect認証オーバーライドCookieが有効になっており、有効な認証Cookieを偽造できる設定になっていたことが明らかになりました。 この脆弱性は、PAN-OSの認証オーバーライドCookieの検証プロセスに起因します。GlobalProtect VPNデバイスは、設定された秘密鍵を使用してこれらのCookieを復号し、署名検証なしで復号された内容を信頼します。 HTTPSサービスと認証オーバーライドCookieの両方に同じ証明書が再利用されている場合、攻撃者はHTTPSセッションを通じて対応する公開鍵を取得できます。これにより、デバイスが正当なものとして受け入れる偽造Cookieを作成できます。 ## Proof-of-Conceptエクスプロイト **Rapid7**は、攻撃者がGlobalProtectポータルまたはゲートウェイによって公開された公開証明書を取得し、任意のユーザーの偽造された認証オーバーライドCookieを生成し、有効な資格情報なしで認証する方法を示すためのProof-of-Conceptエクスプロイトを開発しました。このPoCは、パッチが適用されていないGlobalProtectゲートウェイへの認証に成功しました。 ## 修正と緩和策 GlobalProtect VPNデバイスを使用している組織は、この脆弱性を修正するために最新のセキュリティアップデートを直ちにインストールすることを強く推奨します。 代替の緩和策としては、認証オーバーライド機能を無効にするか、この機能に別の証明書を使用し、デバイス上の他のサービスと共有されないようにすることが挙げられます。 **CISA**はこの脆弱性を既知の悪用脆弱性カタログに追加しており、連邦機関は2026年6月1日までにこれを緩和する必要があります。  ## 検証のギャップ：自動ペネトレーションテストは1つの質問に答える。あなたには6つ必要。 自動ペネトレーションテストツールは大きな価値を提供しますが、それらは1つの質問に答えるために作られました。攻撃者はネットワーク内を移動できるか？それらは、あなたのコントロールが脅威をブロックするか、検出ルールが発火するか、クラウド構成が維持されるかをテストするために作られたものではありません。 このガイドでは、実際に検証する必要がある6つのサーフェスについて説明します。 [今すぐダウンロード](https://hubs.li/Q048zztN0)