Palo Alto製「PAN-OS」の脆弱性を悪用したランサムウェア「Qilin」の攻撃手法が明らかに

要点

• Palo Alto Networksの「PAN-OS」における認証回避の脆弱性「CVE-2026-0257」を悪用した、ランサムウェア「Qilin」によるサイバー攻撃が確認されました。
• 攻撃者は脆弱性を突いてVPNセッションを確立し、管理者アカウントを奪取した後にネットワーク内部へ侵入を拡大していました。
• セキュリティ対策ソフトの無効化やログの消去によって検出を免れ、パスワード保護されたランサムウェアを配備する手口が共通して見られました。
• 攻撃の手口には暗号化のみから二重脅迫まで多様なバリエーションがあり、RaaSモデルによる複数の実行役（アフィリエイト）の関与が指摘されています。

リード文

セキュリティ企業のArctic Wolf Labsは、Palo Alto NetworksのネットワークOS「PAN-OS」に存在していた高深刻度の脆弱性を悪用し、ランサムウェア「Qilin（別名：Agenda）」を標的のネットワーク内に配備するサイバー攻撃が発生したと発表しました。同社の調査によると、これらの攻撃は2026年6月に発生した複数の侵入事案で確認されたといいます。悪用された脆弱性はすでに修正パッチが提供されているものの、攻撃者はこれを利用して初期侵入を果たし、その後多様な手法で被害を広げていたことが明らかになりました。

PAN-OSに存在した認証回避の脆弱性「CVE-2026-0257」

今回の攻撃で侵入経路として悪用されたのは、PAN-OSのポータルおよびゲートウェイコンポーネントに影響を与える脆弱性「CVE-2026-0257」（CVSSスコア：7.8）です。この脆弱性は、認証をバイパス（回避）することができる高深刻度の欠陥として知られています。

具体的には、特定の証明書設定において「認証オーバーライドクッキー」（一度認証されたユーザーの再認証を省略するための仕組み）が有効になっている場合、この脆弱性が機能します。認証されていないリモートの攻撃者は、有効なログイン資格情報を持っていなくても認証プロセスをすり抜け、標的のシステムとの間にSSL VPNセッションを確立できてしまうというものです。攻撃者はこの仕組みを武器化し、標的のネットワークへの最初の足がかり（初期アクセス）を確保していました。

侵入後の共通する攻撃パターン

初期侵入に成功した攻撃者は、ネットワーク内部での権限昇格を図り、侵害した管理者アカウントを利用してWindowsの管理用共有（Administrative Shares）にアクセスしました。そこからネットワーク内の他の端末へと侵入を広げる「横展開（ラテラルムーブメント：ネットワーク内で他のマシンへ感染を広げる手法）」を実行しています。

Arctic Wolf Labsの分析によると、攻撃者の活動には手口の違いがある一方で、以下のような一貫した運用パターンが確認されました。

まず、攻撃者はランサムウェアの実行ファイルを一時的に配置する場所（ステージング）として、共通して「C:\PerfLogs\」ディレクトリを使用していました。そして、システム管理ツールである「PsExec」を悪用し、管理用共有を通じてネットワーク上の各端末でランサムウェアを一斉に実行しました。展開されたランサムウェアのペイロード（悪意あるプログラム本体）は、セキュリティアナリストによる解析を難しくするためにパスワード保護が施されていたといいます。

さらに、攻撃の検出を防ぎ、後からのフォレンジック調査（原因究明のためのデジタル鑑識）で証拠が残らないよう、イベントログを広範囲に消去する処理を徹底して実行していました。また、ランサムウェアを実行する直前には、Windowsの標準セキュリティ機能である「Microsoft Defender」のリアルタイム保護機能を無効化する工作も行われていました。

このほか、システムの永続的な支配を維持するため、Windowsレジストリ（システム設定を記録するデータベース）に特異な設定を追加するパターンも共通して見つかっています。この設定は、アスタリスク（*）の後にランダムに生成された小文字のアルファベット6文字が続くという特徴的なキー構造を持っていたとのことです。

アフィリエイトごとに異なる攻撃手法

共通の初期侵入経路やツール実行パターンが見られる一方で、その後の具体的な攻撃内容には被害組織によって大きなばらつきがありました。ある事案では、データの外部流出を伴わない、組織内のシステム全体を対象とした迅速な暗号化のみが行われていました。このケースでは、「AnyDesk」、「Ngrok」、「LogMeIn」といったリモートアクセスツールが使用され、ネットワーク内部の広範な調査（偵察活動）が進められていたと報告されています。

一方で、別の侵入事案では、大規模な資格情報の窃取が行われた後、ランサムウェアを稼働させる前に、組織から盗み出した大量のデータを外部のクラウドストレージサービス「MEGA」へと転送していました。このデータのアップロードには、データ同期ツールの「Rclone」、暗号化ストレージサービスの「Proton Drive」、およびファイル転送ソフトの「FileZilla」が動員されていたことが判明しています。

このような活動の多様性について、Arctic Wolf Labsは「Qilin」が採用している「RaaS（Ransomware-as-a-Service：ランサムウェアの開発元が攻撃ツールを提供し、実行役と収益を分担するビジネスモデル）」という形態特有のものであると説明しています。RaaSモデルでは、複数の「アフィリエイト（実行役）」と呼ばれる独立したサイバー犯罪グループが実際の攻撃を担当します。アフィリエイトたちは、共有された初期侵入インフラやランサムウェアの基本ツールを利用しつつ、侵入後のデータの扱い方や暗号化の手順には、それぞれが独自に好む手法を適用していたと考えられます。

背景と対策の現状（補足）

今回の攻撃の起点となった脆弱性「CVE-2026-0257」については、すでにPalo Alto Networksから修正パッチが提供されており、対策が呼びかけられています。しかし、パッチの適用が遅れた環境が狙われ、実際にQilinランサムウェアの標的となってしまったことが今回の調査で示されました。

執筆の要約

元記事で報告されている事実を整理し、指定の構成（自然な日本語タイトル、要点箇条書き、リード文、本文、補足）に沿って日本語ニュース記事を執筆しました。
専門用語（ラテラルムーブメント、RaaS、認証オーバーライドクッキー）に対して簡潔な説明を補足しつつ、元記事の事実関係（CVE-2026-0257、Qilinランサムウェア、Arctic Wolf Labsの調査、侵入パターンなど）を正確に盛り込み、約1600文字のボリュームに再構成しています。独自の解釈や推測、提言などは含めておりません。