Palo Alto GlobalProtect VPNの認証バイパス脆弱性（CVE-2026-0257）をQilinランサムウェアが悪用、企業ネットワークへの侵入が相次ぐ

「会社でPalo Alto使ってるんでしゅが、ランサムウェアに狙われてるって本当でしゅか？」
「VPNの脆弱性って、どうやって侵入されるんでしゅか？パッチは当てた方がいいでしゅよね？」

チップス

ボスっ、QilinってランサムウェアグループがPalo AltoのVPN脆弱性を狙ってるって聞きましゅた。うちの会社も使ってるんでしゅけど、大丈夫でしゅか？

ボス

のんきにしている場合じゃないぞ。Arctic Wolfが2026年6月に複数の企業への侵入を確認している。Palo Alto GlobalProtect VPNの認証バイパス脆弱性「CVE-2026-0257」がQilinランサムウェアの入口として積極的に使われている。パッチが出ているのならすぐに当てることだ。

2026年5月にパッチが公開されたPalo Alto Networks GlobalProtect VPNの認証バイパス脆弱性が、今もなお世界中の企業ネットワークへの侵入口として悪用され続けています。
7月21日時点でも167,000以上のインスタンスがインターネット上に公開されており、Qilinランサムウェアグループによる攻撃が相次いでいます。

この記事を読むことで、攻撃の具体的な手口と、自社のGlobalProtect環境を守るために今すぐ取るべき対策が分かります。

QilinランサムウェアがPalo Alto GlobalProtectの認証バイパスを悪用

Palo Alto Networks GlobalProtect VPNの重大脆弱性「CVE-2026-0257」をQilinランサムウェアグループが悪用していることが、セキュリティ企業Arctic Wolfの調査で明らかになりました。

脆弱性の概要と公開から悪用までの経緯

CVE-2026-0257は、Palo Alto Networks PAN-OSのGlobalProtectポータルおよびゲートウェイに存在する認証バイパス脆弱性です。
認証オーバーライドCookieが特定の証明書設定と組み合わされている場合に悪用でき、未認証の攻撃者が正規の認証情報なしにVPNセッションを確立できてしまいます。
CVSSスコアは7.8（High）です。

脆弱性公開から悪用拡大までの経緯は以下のとおりです。

7月21日時点でShadowserverは167,000以上のGlobalProtect VPNインスタンスが公開されていることを確認しており、パッチ未適用の環境は依然として危険にさらされています。
詳細はBleepingComputerの報告記事で確認できます。

Qilinランサムウェアの攻撃手口と被害規模

Qilinはランサムウェア・アズ・ア・サービス（RaaS）モデルで運営される攻撃グループです。
Arctic Wolfの調査では、CVE-2026-0257を入口とした攻撃チェーンの全体像が明らかになっています。

チップス

VPNに入られたら、そこからドメイン全体の認証情報まで盗まれるんでしゅか？それって会社全滅でしゅ…

ボス

そうだな。NTDSが取られるとドメイン内のすべてのアカウントが危険にさらされる。しかもデータを外部に持ち出した上で暗号化するという「二重脅迫」まで行っている。身代金を払わなければデータを公開すると脅してくるんだ。

まとめ

CVE-2026-0257のパッチは2026年5月13日に公開済みです。
それでも7月時点で167,000台超が公開されたままという事実は、パッチ適用の遅れが深刻なリスクであることを示しています。
Palo Alto GlobalProtectを使用している組織は、今すぐパッチバージョンへのアップデートと、VPNアクセスログの確認を実施してください。

チップス

す、すぐにインフラ担当に伝えるでしゅ！パッチが出てから2ヶ月も経ってるのに、まだ当たってないかもしれないでしゅ…

ボス

ふふふ、それでいい。動くのが早ければ早いほどいい。VPNのパッチは後回しにしがちだが、今回のように入口になると企業全体が被害を受けるということを覚えておけよ。

ランサムウェアの攻撃者は、パッチが公開された直後から悪用を始めます。
速やかなパッチ適用と、万が一に備えたインシデント対応計画の整備が、企業セキュリティの要です。