【ITニュース解説】A Management Interface Vulnerability in PAN-OS Needed Credentials. Attackers Used It Anyway

Palo Alto Networksが提供するファイアウォール製品のOSであるPAN-OSの管理インターフェースに、極めて危険な脆弱性が発見された。この脆弱性はCVE-2026-0322として特定されており、管理者権限を持つ攻撃者がネットワーク経由でこのファイアウォールに対し、rootと呼ばれる最高権限で任意のプログラムを実行できるというものだ。これは、ファイアウォールが本来持つセキュリティ機能を完全に無効化し、攻撃者の支配下に置かれることを意味する。米国のサイバーセキュリティ機関であるCISAも、この脆弱性が既に実際の攻撃で悪用されていることを確認し、「既知の悪用されている脆弱性（Known Exploited Vulnerabilities）」のリストに加えた。さらに、米国の連邦政府機関に対しては、わずか3日という短い期間での修正を強く求めた。

この脆弱性を悪用するためには、二つの条件が必要となる。一つは、PAN-OSの管理インターフェースにネットワーク的に到達できること、もう一つは、その管理インターフェースにログインするための有効な管理者認証情報（ユーザー名とパスワードなど）である。つまり、攻撃者はまずファイアウォールにアクセスできる場所にいる必要があり、さらに管理者のIDとパスワードを知っている必要がある。そのため、この脆弱性の深刻度を示すCVSSスコアは8.6と高評価だが、「認証が必要（Privileges Required: High）」という条件が付いている。技術的には「コードインジェクション」と呼ばれる手法が使われるもので、これは、本来データとして扱われるべき入力内容を、システムが誤ってプログラムの命令として実行してしまうタイプの脆弱性である。

通常、「認証が必要」な脆弱性は、認証なしで悪用できるものと比べて緊急性が低いと判断されがちである。しかし、この脆弱性の場合、そう安易に考えてはならない。現代において、システム管理者の認証情報は様々な経路で漏洩するリスクを抱えている。例えば、情報窃取マルウェアによってPCから盗まれたり、過去に別のウェブサービスで使い回していたパスワードが流出し、それが流用されたり、開発者のPC内のパスワード管理ツールから漏れたりするケースが後を絶たない。もし攻撃者が管理者の認証情報を手に入れてしまえば、この脆弱性は、実質的に「認証不要で最高権限（root権限）を取得できる」ものと変わらなくなってしまう。パロアルトネットワークス自身が公開した情報でも、実際に攻撃者が管理者認証情報を利用して悪用を試みたIPアドレスが複数確認されており、この危険性が現実のものであることを裏付けている。

管理インターフェースへのアクセスを、特定の安全なサーバー（ジャンプボックスなど）に制限するという対策は、多くの組織で推奨されるセキュリティ強化策の一つだ。この対策は、管理インターフェースに直接アクセスできる攻撃経路を減らす効果があるため、CVSSスコアも8.6から8.5にわずかに下がる。しかし、これは脆弱性そのものを完全に解消するものではない。もし攻撃者がすでに有効な管理者認証情報を手に入れており、かつそのジャンプボックスに到達できるのであれば、依然としてこの脆弱性を悪用されてしまうからだ。したがって、アクセス制限は攻撃のリスクを軽減するものの、根本的な解決策にはならない。パロアルトネットワークスが明確に指摘しているように、この脆弱性に対する唯一の「本当の修正」は、PAN-OSを修正済みのバージョンにアップグレードすることである。

この脆弱性を解消するための最も重要かつ根本的な対策は、PAN-OSを最新の修正済みバージョンに速やかにアップグレードすることだ。具体的には、使用しているPAN-OSのバージョンに応じた、10.2.18-h12、11.1.16-h3、11.2.16、12.1.10-h2、または12.2.4以降のビルドに更新する必要がある。これらのバージョンには、悪意のあるコードの注入経路を閉じるための修正プログラムが含まれている。このアップグレードは、CISAが連邦政府機関に短期間での対応を求めたことからもわかるように、単なる事務的な手続きではなく、既に実世界で悪用が確認されている状況を鑑み、直ちに行うべき緊急性の高い措置である。

アップグレード以外の追加の対策も重要である。まず、管理インターフェースへのアクセスは、修正済みバージョンに更新した後であっても、専用のジャンプボックス以外からは行えないように厳しく制限することが推奨される。これは、万が一管理者認証情報が盗まれた場合に、攻撃者がファイアウォールに到達するのを困難にするためだ。次に、ファイアウォールや集中管理システムであるPanoramaの管理者ログイン履歴を確認し、パロアルトネットワークスが公開している攻撃者のIPアドレス（66.42.72.14、208.83.239.114、149.248.47.234）からのアクセスがないか確認する必要がある。もし不審なアクセスが確認された場合は、関連するすべての管理者認証情報を直ちに変更すべきである。また、Threat Preventionシグネチャ510046と510047も提供されているが、これは既知の攻撃パターンにしか対応しておらず、巧妙な手口には対応できない可能性があるため、これだけに頼るべきではない。

この脆弱性に関する結論は非常にシンプルだ。まだ修正パッチを適用していない場合は、直ちにシステムを最新の修正済みバージョンにアップグレードする必要がある。この修正は、悪意のあるコードをシステムに注入する経路を完全に遮断するためのものだ。しかし、システムを修正するだけでは、攻撃者が管理者の認証情報をどのように手に入れるかという根本的な問題は解決されない。つまり、「修正パッチを適用したからもう安心」と考えるのは早計である。CVSSスコアの「必要な権限」という項目は、あくまで脆弱性そのものが悪用されるために必要な条件を記述するものであり、現実の攻撃者がその権限をどれだけ容易に取得できるかを示すものではない。したがって、「認証が必要なリモートコード実行」という警告は、自身のシステムで認証情報がどれだけ露出しているかに応じて、緊急度を判断すべきである。「認証済み」という言葉が持つ安心感に惑わされることなく、多角的な視点からセキュリティ対策を講じることが、システムを安全に保つ上で極めて重要となる。