Palo Alto Networks PAN-OSのCVE-2026-0300が悪用、ファイアウォール5,800台超に緊急対応要請

「うちのファイアウォール、Captive Portalがインターネットに見える設定で残っていないか不安だ…」
「PAN-OSのゼロデイが悪用されているらしいけど、まず何から手を付ければいいの？」

チップス

ボス！うちもPalo Alto使ってるでしゅ！Captive Portalって、たまに使うやつでしゅよね？大丈夫でしゅかぁ…

ボス

落ち着け、チップス。PAN-OSの認証ポータルに未認証RCEだ。すでに限定的な悪用も観測されている。慌てず、しかし手は止めるな、だな。

同じように肝を冷やしたファイアウォール管理者の方も多いはずです。
ここでは、CVE-2026-0300の中身と、いますぐ確認しておくべき設定を整理していきます。

読み終えるころには、自社のPAN-OSが危険な状態にあるかどうかを判断する材料が揃います。

CVE-2026-0300の概要と悪用状況

PAN-OSの認証機能を突く、未認証のリモートコード実行脆弱性です。

5月5日のアドバイザリで公開された内容

Palo Alto Networksは2026年5月5日にセキュリティアドバイザリを公開しました。
対象はPA-SeriesおよびVM-Seriesのファイアウォールで、PAN-OS 10.2／11.1／11.2／12.1の特定バージョンが影響を受けます。
Cloud NGFW、Prisma Access、Panoramaは対象外と明記されています。

悪用の前提となる設定条件は次の通りです。

すでに「限定的な悪用」が観測済み

Palo Alto Networks自身が、信頼できないIPに公開された認証ポータルへの「limited exploitation」を確認したと発表しました。
The Shadowserver Foundationの観測では、インターネットに露出しているVM-Seriesは世界で5,800台を超え、その内アジア地域だけで約2,466台にのぼります。

チップス

2,466台もアジアにあるんでしゅか…日本も含まれてるかもしれないでしゅ！

ボス

そういうことだ。攻撃者は標的を選んでいる、と考えていい。観測されたのが「限定的」な段階のうちに、防御側が動かないと手遅れだぞ。

詳細はPalo Alto Networksの公式アドバイザリを参照してください。

Captive Portalで何ができてしまうのか

特殊なパケット1発でroot権限を奪われる、典型的なメモリ破壊型の脆弱性です。

バッファオーバーフローからroot権限奪取まで

本脆弱性はCWE-787（範囲外書き込み）に分類されます。
認証不要かつネットワーク経由で、ファイアウォール本体上でroot権限のコード実行に至ります。
攻撃の主な特徴は以下の通りです。

日本の運用現場で踏みやすい落とし穴

Captive Portalはゲストネットワークの認証や、リモートユーザーの一時アクセス制御で使われてきた機能です。
過去の検証用設定が外向きインターフェースで残ってしまうケースが少なくありません。
運用上、特に注意すべき点を整理します。

チップス

「使ってないと思ってた機能」が一番こわいでしゅね…構成変更履歴、見直しでしゅ！

ボス

そうだ、ログを3回読み返せ、そこに答えがある。設定もな。

いま取るべき対応をまとめる

パッチ提供は5月13日以降、対象バージョンごとに順次予定されています。
パッチ適用までの間は、認証ポータルを内部限定にし、信頼できないインターフェースのレスポンスページを無効化する緩和策が有効です。
侵害の有無は、認証ポータル宛の不審な通信ログとファイアウォール上の異常プロセスを優先して確認しましょう。

チップス

緩和策→パッチ適用→事後点検、の順で進めるでしゅね！

ボス

その通りだ。ファイアウォールは家の鍵だ。鍵を交換するまで、扉の前で見張れ。