Palo Alto GlobalProtectの脆弱性CVE-2026-0257がQilinランサムウェアに悪用|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月22日更新日時: 2026年07月22日

セキュリティ企業Arctic Wolfのリサーチ部門Arctic Wolf Labsは2026年7月20日、Palo Alto NetworksのPAN-OSに存在するGlobalProtect認証回避脆弱性CVE-2026-0257が、Qilin(キリン)ランサムウェアの展開に悪用されていることを確認したと公表しました。同社が2026年6月に調査した複数の侵入事案では、いずれもこの脆弱性が初期侵入の起点となり、境界のファイアウォールを突破した攻撃者が、そこからドメイン全域の暗号化にまで急速に到達していたことが明らかになっています。当サイトでは、この脆弱性が公開4日後に悪用され始めた初期段階や、Palo Alto Networks自身が悪用を確認した時点についてすでに報じていますが、今回、この脆弱性が実際にランサムウェアによるドメイン全域の暗号化という最悪の結末に直結していたことが、詳細な攻撃連鎖とともに裏付けられた形です。

サマリー

Arctic Wolf Labsは2026年6月、CVE-2026-0257を初期侵入経路とする複数の侵入事案を調査し、いずれもQilinランサムウェアの展開に至っていたことを確認しました
CVE-2026-0257は、Palo Alto NetworksのPAN-OSのGlobalProtectポータル・ゲートウェイに存在する認証回避の脆弱性(CVSS 7.8)で、認証を回避して正規の認証情報なしにVPNセッションを確立できるものです
攻撃者は侵入後、LSASSのメモリダンプやNTDS.ditの抽出によって認証情報を窃取し、窃取した管理者アカウントを使ってWindowsの管理共有経由で横展開していました
侵入後の手口は事案ごとにばらついており、データ窃取を伴わない高速な暗号化のみのケースから、複数のリモートアクセスツールを展開しクラウドストレージへデータを持ち出す完全な二重恐喝型まで確認されました
この手口のばらつきは、複数のアフィリエイト(実行犯)がQilinのRaaS(サービスとしてのランサムウェア)モデルの下で、共通の初期侵入基盤とランサムウェアを使いつつ、それぞれ独自の攻撃手法を適用していることと整合します
攻撃者はランサムウェアをC:\PerfLogs\に配置し、PsExecで管理共有経由の横展開を行い、パスワードで保護されたペイロードを展開し、包括的なログ消去を実行するという、一貫した運用パターンを示しました
Arctic Wolf Labsは、CVE-2026-0257を悪用してQilinを展開する侵入活動が現在も継続中である可能性が高いと中程度の確度で評価しています
インターネットに露出したGlobalProtect VPNのインスタンスは、Shadowserverの観測で16万7,000件超、Shodanでは17万2,000件超にのぼり、影響範囲は極めて広範です

1 整理表
2 悪用された脆弱性CVE-2026-0257とは
3 Arctic Wolfが解析した攻撃連鎖
4 Qilinランサムウェアとは
5 情報システム部門への示唆
6 出典

整理表

項目	内容
公表日	2026年7月20日
公表元	Arctic Wolf Labs
悪用された脆弱性	CVE-2026-0257(PAN-OS GlobalProtect認証回避、CVSS 7.8)
展開されたランサムウェア	Qilin(別名Agenda)
調査時期	2026年6月(複数の独立した侵入事案)
初期侵入	CVE-2026-0257を悪用しGlobalProtect VPNセッションを不正確立
認証情報窃取	LSASSダンプ(rundll32+comsvcs.dll)、NTDS.dit抽出(ntdsutil IFM)
横展開	PsExec+管理共有(C$)、補助的にRDP
ランサムウェア配置場所	C:\PerfLogs\win.exe
データ持ち出し先	MEGA(Rclone経由)、ProtonDrive、FileZilla
防御回避	全イベントログの消去、Defenderリアルタイム保護の無効化
攻撃基盤の特徴	Kaliを名乗るホストからのVPNセッション、複数事案で重複する送信元IP
露出インスタンス数	Shadowserver 16万7,000件超、Shodan 17万2,000件超
Arctic Wolfの評価	CVE-2026-0257経由のQilin展開は継続中の可能性が高い(中程度の確度)

悪用された脆弱性CVE-2026-0257とは

今回悪用が確認されたCVE-2026-0257は、Palo Alto NetworksのPAN-OSソフトウェアにおけるGlobalProtectポータルおよびゲートウェイに存在する認証回避の脆弱性です。当サイトで既報のとおり、この脆弱性は認証オーバーライドCookieが有効で、かつ特定の証明書構成が存在する場合に悪用可能となり、悪用に成功すると、認証されていない遠隔の攻撃者が認証を回避し、正規の認証情報なしにVPNセッションを確立できてしまいます。CVSSスコアは7.8(高)と評価されています。

影響を受けるのはPAN-OS 12.1、11.2、11.1、10.2の各系統の修正前バージョンおよびPrisma Accessであり、Cloud NGFWおよびPanoramaは影響を受けません。Palo Alto Networksは2026年5月13日にこの脆弱性を公開して修正版を提供し、その後、未修正のデバイスに対する限定的な悪用が確認されたと警告していました。米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)も2026年5月29日にこの脆弱性を悪用が確認された脆弱性カタログ(KEV)に追加し、連邦政府機関に対して3日以内にGlobalProtect VPNインスタンスを保護するよう命じています。Arctic Wolfが観測した侵入事案では、この脆弱性の悪用によって攻撃者が認証済みのGlobalProtect VPNセッションを確立し、境界の認証制御を完全に回避して、被害者のネットワークへ直接対話的にアクセスできる状態になっていました。

Arctic Wolfが解析した攻撃連鎖

Arctic Wolf Labsの解析によれば、今回の一連の侵入は、初期侵入から認証情報窃取、横展開、防御回避、そしてランサムウェア展開に至るまで、明確な段階を踏んで進行していました。

初期侵入と足場の確立

攻撃者はCVE-2026-0257を悪用してGlobalProtect VPNセッションを確立した後、いくつかの事案では、kaliというホスト名を名乗るシステムからSSL VPNセッションを張っていました。これは攻撃プラットフォームとしてKali Linuxを使用していることと整合する特徴です。複数の事案で、脆弱性の悪用元となった外部IPアドレスと、その後のVPNセッションの発信元IPアドレスが重複していたことから、同一の基盤が脆弱性の悪用と侵入後のアクセスの両方に使われていたことが確認されており、複数の攻撃者間で共通の攻撃ツールキットまたは協調した基盤が使われている可能性が示唆されています。

侵入後、攻撃者はVPNセッションが切断されたり脆弱性がパッチされたりしても足場を失わないよう、迅速に永続化を図りました。レジストリのRunキーには、アスタリスクに続く6文字のランダムな小文字という特徴的な命名規則の値が複数の事案で共通して確認されており、これはQilinのビルダー特有の設定痕跡である可能性があります。さらに攻撃者は、AnyDesk、Ngrok、LogMeInといった複数のリモートアクセスツールを冗長的に展開し、単一の永続化手段を失っても access を維持できる多層的なアプローチを取っていました。

認証情報の窃取と横展開

足場を固めた攻撃者は、認証情報の窃取に移りました。ローカルセキュリティ機関サブシステムサービス(LSASS)のプロセスメモリから、rundll32.exeとcomsvcs.dllを用いた手法で認証情報をダンプしています。この際、出力ファイルの拡張子に、通常のメモリダンプで使われる.dmpではなく.odtという通常とは異なる拡張子を用いており、ファイルタイプに基づく監視ルールによる検知を回避しようとする意図がうかがえます。さらに、ntdsutil.exeのIFM(Install From Media)手法を用いてActive Directoryデータベース(NTDS.dit)の完全なコピーを作成し、ドメイン内の全アカウントのパスワードハッシュへのアクセスを獲得していました。

横展開は、窃取した認証情報を用いて行われました。主な手段はSysinternalsのPsExecで、Windowsの管理共有(C$)と組み合わせてツールの転送とリモートシステムでのコマンド実行を行っています。補助的にRDP(リモートデスクトッププロトコル)も使われ、ドメインコントローラー、バックアップ基盤、ファイルサーバーといった重要システムへの対話的なアクセスに利用されました。偵察には、SoftPerfect Network Scanner(netscan.exe)や、CrackMapExecの後継であるNetExec(nxc.exe)が使われています。

防御回避とデータ持ち出し

ランサムウェアの展開前に、攻撃者は検知の可能性を減らしフォレンジック証拠を消去するための入念な措置を講じていました。特に注目されるのが、PowerShellを用いて、記録が存在するすべてのWindowsイベントログを列挙し、一括で消去するルーチンです。これは、セキュリティログやシステムログといった主要なログだけでなく、PowerShellの操作ログ、タスクスケジューラ、ターミナルサービスといった、調査担当者が頼りにする周辺的なログチャンネルまで含めて、フォレンジックの対象領域全体を一度の操作で消去してしまうもので、通常のログ消去よりもはるかに徹底した手口です。あわせて、一部の事案ではMicrosoft Defenderのリアルタイム保護がランサムウェア展開前に無効化されていました。

二重恐喝を伴う事案では、ランサムウェア展開に先立ってデータの持ち出しが行われていました。Rclone、ProtonDrive、FileZillaといった複数のツールが使われ、主な持ち出し先はクラウドストレージサービスのMEGAでした。MEGAは正規のサービスですが、エンドツーエンド暗号化、大容量ストレージ、本人確認の緩さから、攻撃者によるデータ持ち出し先として悪用されやすい特徴があります。また、攻撃者は復旧の選択肢を奪い被害者に身代金支払いを迫るため、ランサムウェア展開前にVeeamのバックアップ基盤を標的にしていました。一方で、調査した事案の中にはデータ窃取を伴わない暗号化のみのケースもあり、Qilinのアフィリエイトごとに目的や時間的制約が異なることを示しています。

ランサムウェアの展開

Qilinのペイロードは、いずれの事案でもwin.exeという名前で、C:\PerfLogs\などの意図的に選ばれた場所に配置されていました。C:\PerfLogs\は、Windowsシステムにデフォルトで存在し、ファイル整合性監視ソリューションで監視されることがまれで、多くの構成で特権なしに書き込み可能という特徴があるため、ランサムウェアの配置場所として選ばれたとみられます。ペイロードの実行には、実行時に32文字の複雑なパスワードの入力を要求するパスワードゲートが用いられており、この鍵がなければペイロードは動作しないため、サンドボックス解析やインシデント対応担当者による分析が困難になります。あわせて、UACのプロンプトを回避する–no-adminフラグも使われていました。暗号化されたファイルには、Qilinの攻撃キャンペーンに典型的な、ピリオドとダッシュに続くランダムな英数字という形式の拡張子が付与されました。

Qilinランサムウェアとは

今回ランサムウェアを展開したQilin(別名Agenda)は、当サイトで既報のQilinのサイバー攻撃手法や実像を解説した記事でも取り上げたとおり、少なくとも2022年から活動しているRaaS(サービスとしてのランサムウェア)グループです。データの暗号化と窃取情報の公開の脅迫を組み合わせた二重恐喝モデルを採用し、この1年で最も活発なRaaSの一つに成長しました。医療、製造、教育、政府、専門サービスなど幅広いセクターを標的とし、アンダーグラウンドフォーラムでアフィリエイトを募集し、各作戦向けにカスタマイズされたペイロードを生成するビルダーを提供しています。

Qilinはこれまでに、自らのダークウェブ上のリークサイトで2,000を超える被害組織を主張しており、その中には自動車大手の日産やヤンフェン、当サイトでも大きく取り上げた日本のビール大手アサヒグループホールディングス、ロンドンの病院への攻撃で知られる病理サービスのSynnovisなど、著名な組織が数多く含まれています。日本国内でも、当サイトで既報のとおり、あなぶきハウジングサービスやデンソーなど、Qilinによる攻撃・犯行主張が相次いで確認されています。

情報システム部門への示唆

今回のArctic Wolfの分析が明確に示しているのは、境界のVPN機器の脆弱性が、ランサムウェアによるドメイン全域の暗号化という最悪の結末に直結するという現実です。侵入後の手口は事案ごとにばらついていましたが、CVE-2026-0257による境界突破という初期侵入の一点は共通しており、この境界の侵害こそが防御側にとって決定的な分岐点になります。Arctic Wolfも指摘するとおり、初期侵入や認証情報窃取の初期段階で検知・対応できれば、取り返しのつかない暗号化やデータ窃取を防ぐことができます。

最優先の対策は、CVE-2026-0257のパッチを直ちに適用することです。インターネットに面したPalo Alto Networksのファイアウォール機器で、影響を受けるPAN-OSバージョンを稼働させている場合は、ベンダーのパッチを適用し、適用後はベンダーのガイダンスに従って有効なGlobalProtectセッションをすべて終了させ、不正なセッションを無効化する必要があります。すでに悪用された疑いがある場合は、攻撃者がLSASSダンプやNTDS.dit抽出によって認証情報を窃取している前提で、ドメイン管理者アカウント、KRBTGTアカウント(Microsoftのガイダンスに従い2回)、サービスアカウント、そしてMEGAやProtonDrive等のクラウドストレージの認証情報を含む、すべての認証情報をローテーションすることが求められます。

あわせて、今回の攻撃で一貫して用いられた手口に対応する監視も有効です。ランサムウェアの配置場所となったC:\PerfLogs\での実行ファイル作成の監視・ブロック、PsExec(PSEXESVC.exe)による管理共有経由の横展開の検知、AnyDesk・Ngrok・LogMeInといった業務で承認されていないリモートアクセスツールの通信の検知、MEGAへの大量の外部通信の監視などが挙げられます。特に、今回の攻撃で用いられた全ログ一括消去のルーチンはローカルのフォレンジック証拠を消し去るため、Windowsイベントログをリアルタイムで中央のSIEMへ転送し、ログが消去されても検知・調査ができる体制を整えておくことが重要です。Windowsセキュリティイベントログの消去(イベントID 1102)は通常まれな操作であるため、これを検知した際は直ちに調査を開始できるようにしておくことをお勧めします。