Palo Alto Networksの既知の脆弱性を悪用しMFAを回避、QilinやINCなど複数のランサムウェア組織が攻撃を継続

要点

• Palo Alto Networksの「PAN-OS」および「Prisma Access」に存在した認証回避の脆弱性（CVE-2026-0257）が、パッチ公開後も複数のランサムウェア組織によって活発に悪用されている。

• 脅威アクターは多要素認証（MFA）を回避して不正なVPNセッションを確立し、企業ネットワークへの初期侵入を果たしている。

• 侵入後は仮想化基盤の管理環境へ直接侵入し、セキュリティ機能を無効化した上でドメイン全体の認証情報を窃取する手口が確認された。

• 被害の最大化を狙い、Veeamバックアップの既知の脆弱性を組み合わせる攻撃手法も観測されている。

• Palo Alto Networksの脅威インテリジェンス部門であるUnit 42は2026年10月19日、同社が過去に修正したセキュリティ脆弱性を悪用するランサムウェア攻撃が依然として続いているとする調査結果を公表した。対象となっているのは「PAN-OS」および「Prisma Access」に影響する脆弱性で、攻撃者は多要素認証（MFA）をすり抜けて不正アクセスを行っているという。これまでに「Qilin」や「INC」など、複数の著名なランサムウェア組織による悪用が確認されている。

悪用が続く脆弱性「CVE-2026-0257」の概要

問題となっている脆弱性は「CVE-2026-0257」として管理されており、CVSS（情報システムの脆弱性の深刻度を評価する共通指標）の基本スコアは7.8と評価されている。この欠陥は認証プロセスの不備に起因するもので、悪意のある攻撃者が正規の認証ステップを経ることなく、不正なVPN接続を確立できてしまうという特徴を持つ。

Palo Alto Networksは2026年5月の時点で本脆弱性を修正するセキュリティパッチをリリースしており、米サイバーセキュリティ・インフラセキュリティ庁（CISA）も同年5月13日に「悪用が確認された脆弱性カタログ（KEV）」へ追加していた。しかし、パッチの適用が遅れている環境などを狙い、修正から数か月が経過した現在でも攻撃者による標的となっている実態が浮き彫りになっている。

関与が判明しているランサムウェア組織と広範な標的

Unit 42の発表によると、CVE-2026-0257を悪用している脅威アクターとして、「Spikey Scorpius」（別名：Qilin）および「Tarnished Scorpius」（別名：INC）の2つのランサムウェア組織が特定されている。また、セキュリティ企業のReliaQuestも直近の報告において、金銭的動機に基づくサイバー攻撃の中で、Qilinおよび「Settra」ランサムウェアグループによる活発な悪用を検知したと発表していた。さらに、Qilinによる同脆弱性の悪用については、2026年7月にもArctic Wolfによって最初に警告されており、単純なデータの暗号化のみを行う活動から、二重恐喝（身代金の要求に加え、窃取したデータの公開を盾に脅迫する手法）に至るまで、多岐にわたる攻撃が確認されていた。

これらの一連の攻撃活動において、標的とされている業界は極めて多岐にわたる。教育、金融サービス、ヘルスケア、ハイテク、ホスピタリティ（観光・宿泊）、製造、専門・法務サービス、政府機関、輸送・物流、公共インフラ・エネルギー、小売など、業種を問わず幅広い組織が攻撃対象として狙われていることが判明している。

侵入後の水平展開と情報収集の手口

攻撃者はCVE-2026-0257を悪用して社内ネットワークへの初期の足がかりを築いた後、MFAによる保護を迂回してVPNセッションを確立する。侵入を成功させた脅威アクターは、以下のような手順で侵害活動を進めていることが明らかになっている。

まず、正規の業務管理でも用いられるRMM（遠隔から端末の監視や保守を行うリモート監視・管理）ツールを悪用し、社内ネットワークの偵察活動を実施する。続いて、RDP（リモートデスクトッププロトコル）やSMB（ファイル共有プロトコル）を利用して、ネットワーク内を横方向へ移動・感染拡大する「ラテラルムーブメント」を展開する。その上で、認証情報の窃取（ハーベスティング）、機密データの外部送出（持ち出し）、そして最終段階であるランサムウェアの展開に必要な追加の攻撃ツール群をシステム内へ配置していく。

仮想化基盤への直接移行とEDR回避の高度な手法

Unit 42は、CVE-2026-0257の悪用成功後に見られる攻撃者の戦術・技術・手順（TTPs）において、最も顕著な進化として「仮想化レイヤーへの直接的な移行（ピボット）」を挙げている。

ある特筆すべき侵入事例では、攻撃者は侵害したVPNゲートウェイから、仮想化環境の集中管理基盤である「vCenter」管理アプライアンスへと直接侵入を広げた。そこから、ESXiハイパーバイザー（物理サーバー上で仮想マシンを直接稼働させる制御ソフトウェア）のセキュリティ保護機能である「execInstalledOnly」を意図的に無効化させた。さらに、独自に作成されたカスタムツールを用い、ドメインコントローラーの仮想ディスクファイル（VMDK）に対して直接、オフラインでの認証情報ダンプ（メモリやファイルからパスワード情報を一括抽出する行為）を実行したという。

この手口の最大の脅威は、ゲストOS（仮想マシン）内部で動作しているEDR（エンドポイントの不審な挙動を常時検知・対処するセキュリティ機構）や各種保護機能を完全に回避できる点にある。セキュリティ製品に検知されることなく、組織全体の権限を掌握可能なドメイン全体の認証情報を奪取することが可能になる。

加えて、攻撃者が初期侵入の手口と他の悪用ツールを組み合わせる「エクスプロイトチェーン」も観測されている。組織に最大限の損害を与える目的で、既知の脆弱性（CVE-2023-27532）を悪用してVeeamのバックアップインフラを標的とした攻撃を試みるケースも確認されている。

Palo Alto Networksが推奨する対応

Palo Alto Networksは、影響を受ける製品に対して最新のセキュリティパッチを迅速に適用することを最優先事項として求めている。さらに、組織が能動的に侵害の痕跡（IoC）の探索・ハンティングを行い、万が一ゲートウェイへの不審な接続成功イベントが検知された場合には、速やかに適切なインシデント対応プロトコル（初動対処手順）を開始するよう推奨している。