ランサムウェア集団がGlobalProtect VPNの脆弱性を悪用――確認すべき点

ランサムウェア攻撃の実行者は、2026年5月に修正されたGlobalProtect VPNの脆弱性を引き続き標的にしており、企業の仮想化基盤にまで侵入が及んでいることが確認されている。

2026年10月19日の更新で、Palo Alto NetworksのUnit 42は、QilinおよびIncのランサムウェア攻撃実行者がCVE-2026-0257を標的にした継続的な悪用を試みていることを特定した。調査では、攻撃者がVMware基盤に到達し、仮想マシン内で動作するセキュリティツールを回避しながら、ドメイン認証情報を窃取していたことが明らかになった。

脆弱なGlobalProtect構成を運用するセキュリティチームは、パッチ適用を確認するとともに、修正前に攻撃者がアクセスを確立していなかったか調査する必要がある。

GlobalProtectへの攻撃、仮想化基盤とバックアップシステムに到達

このUnit 42による調査では、Qilin（Spikey Scorpius）とInc（Tarnished Scorpius）を特定するとともに、Settraランサムウェアに関する別の公開報告にも言及している。

CVE-2026-0257は、脆弱な証明書構成で認証オーバーライドCookieを使用する一部のPAN-OSおよびPrisma Access環境に影響する。攻撃者は、多要素認証（MFA）を含む通常の認証を完了せずに、認証されていないVPNセッションを確立できる。

Palo Alto Networksは、この脆弱性の深刻度を「High」（CVSS 4.0で7.8）と評価している。2026年5月13日に公表され、5月29日にはCISAの既知の悪用された脆弱性カタログに追加された。

調査では、正規のリモート管理ソフトウェアを使った偵察に続き、RDPとSMBを通じた横展開が確認された。同様の信頼されたリモート管理ツールの悪用は、セキュリティチームにとって検知を難しくする。

ある侵入では、攻撃者はVMware vCenterに到達し、execInstalledOnlyESXiホスト上のセキュリティ制御を無効化して、仮想ディスクからドメイン認証情報を窃取し、ゲストOS内のセキュリティ制御を回避した。Unit 42はさらに、攻撃者がVPNアクセスと、CVE-2023-27532を含むVeeamバックアップ基盤を標的とするエクスプロイトツールを組み合わせていたことも確認した。

これとは別に、Arctic Wolfは6月に発生し、Qilinランサムウェアの展開に至った侵入を記録している。Ciscoファイアウォール管理の脆弱性も同様に、内部ネットワークへのランサムウェア攻撃を可能にしている。

Suzu LabsでセキュアAIソリューションおよびサイバーセキュリティ担当シニアディレクターを務めるJacob Krell氏は、侵害されたセキュリティアプライアンスから利用できるアクセスを制限するよう推奨した。

「ファイアウォールを攻撃者がアクセス可能なエンドポイントとみなし、侵害されたゲートウェイがその背後のすべてに到達できないよう、ネットワークをセグメント化すべきだ」とKrell氏は述べた。

パッチ適用、脅威ハンティング、復旧対策

管理者は、脆弱な構成に対処し、過去のアクセスを調査する必要がある。最近のIvanti VPNの認証情報窃取攻撃は、修正対応をソフトウェアの更新だけで終わらせてはならない理由を示している。

• 認証にパッチを適用し、強化する。で、ベンダーのアドバイザリーに記載された修正済みのPAN-OSおよびPrisma Accessのリリースを適用する。不要な認証オーバーライドCookieを無効にするか、専用の証明書を使用する。関連するポータルとゲートウェイを更新し、厳格なHMAC検証が有効になっていることを確認する。
• VPNのアクティビティを確認する。不審なgateway-connectedイベント、送信元IPアドレス、識別子などを調査し、GP-CLIENTDESKTOP-GP01侵害を確認する前に痕跡を相関分析する。
• 内部アクセスを調査する。特権アカウント、RDPおよびSMBのアクティビティ、vCenterとESXiの構成、Veeamシステムを調べ、不正な変更や認証情報の窃取がないか確認する。
• 横展開を制限する。VPNアクセスをドメインコントローラー、ハイパーバイザー管理インターフェース、バックアップサーバーから分離する。最小権限を徹底し、管理者アカウントを分離する。
• 管理インターフェースの公開を制限する。外部からアクセス可能な管理インターフェースを確認する。対象は4443番および3879番ポートで、Unit 42が10月20日の更新で特定した別の構成上の懸念事項だ。
• インシデント対応計画をテストする。侵害されたアクセス権を無効化し、流出した認証情報を更新し、永続化の有無を調査するとともに、保護された復旧用コピーを使ってバックアップからの復元を検証する。

Ridge Securityでテクニカルマーケティングエンジニアリング担当シニアディレクターを務めるDarin Fredde氏は、修正対応を検証することの重要性を強調した。

「脆弱性をより迅速に発見できても、同じように効果的に修正できなければ意味はない」とFredde氏は述べた。

パッチ適用によって既知の脆弱性は解消されるが、侵害の可能性を特定し、ランサムウェアによる被害を抑えるには、過去のVPNアクティビティと下流のシステムを確認する必要がある。

続きを読む：FBIの600以上の組織に影響を及ぼしたSafePayランサムウェア警告では、侵害された認証情報、公開されたサービス、復旧基盤への攻撃によって企業の業務が妨害される仕組みを詳しく解説している。