Palo Alto Networksのファイアウォールに存在する脆弱性を悪用すると、GlobalProtectに依存する組織のリモートアクセスを攻撃者が妨害できる可能性があり、影響を受けたシステムがメンテナンスモードに移行してサービスが中断するおそれがある。
GlobalProtectのゲートウェイとポータルを標的に、ネットワーク経由で認証なしに攻撃者が悪用できるPAN-OSの欠陥。
この脆弱性は「…認証されていない攻撃者がファイアウォールをサービス拒否（DoS）状態にできる。問題の誘発を繰り返し試みると、ファイアウォールがメンテナンスモードに移行する」と述べた。Palo Alto Networksは勧告で。
GlobalProtectのDoSリスクを解説
CVE-2026-0227は、GlobalProtectのポータルまたはゲートウェイを稼働させているPAN-OSファイアウォールとPrisma Accessシステムに影響し、リモートアクセス環境が最も危険にさらされる。
Palo Alto Networksは、この問題が複数のPAN-OSリリース系列にまたがり、現行ブランチと旧ブランチの双方が含まれることを確認している。そのため、混在環境全体でバージョンの確認とパッチ適用計画が重要になる。
特にCloud NGFWは影響を受けないため、このクラウド提供型プラットフォームを利用する顧客のリスクは限定される。
この脆弱性はサービス拒否（DoS）の欠陥で、認証されていない攻撃者がネットワーク経由でリモートから引き起こせる。
Palo Altoはこの欠陥を7.7（HIGH）と評価している。GlobalProtectのポータルやゲートウェイを妨害でき、攻撃が繰り返されるとシステムを復旧状態に追い込む可能性があるためだ。
この問題は、通常とは異なる状況や例外的な状況を不適切に処理することが原因で、サービスが不正なトラフィックや異常なリクエストを繰り返し受信すると動作が不安定になる可能性がある。
実際の悪用は容易だ。認証や権限、ユーザー操作を必要とせず、ネットワーク経由でリモートから誘発できるため、外部に公開されたGlobalProtectインターフェースに対して自動化して実行できる。
Palo Alto Networksは、この活動をCAPEC-210（既存機能の悪用）にも関連付けている。攻撃者は通常のリクエスト経路を繰り返し呼び出し、境界的な条件下でシステムが確実に処理できない形で悪用する可能性があるためだ。
概念実証（PoC）の悪用コードは存在するものの、実環境での悪用は報告されておらず、この脆弱性向けのパッチはリリースされている。
リモートDoS攻撃のリスクを低減
この欠陥は認証なしでリモートから誘発できるため、インターネットに公開されたポータルとゲートウェイを最もリスクの高い対象として扱うべきだ。
以下では、迅速な修正、攻撃対象領域の縮小、そして障害発生時のレジリエンス向上に焦点を当てる。
- パッチを適用し、影響を受けたPAN-OSおよびPrisma Accessシステムを各ブランチ向けの修正版リリースに更新し、最新のホットフィックス版を優先する。
- インターネットに公開されたGlobalProtectのポータルとゲートウェイを最優先にする。悪用はリモートで認証なしに実行でき、自動化も容易だからだ。
- 未使用のポータルとゲートウェイを無効にしてGlobalProtectの露出を減らすとともに、IP許可リストまたは信頼できるネットワーク範囲を使ってアクセスを制限する。
- 上流側にDDoS緩和策や接続レート制限などの保護を追加し、攻撃トラフィックが繰り返される影響を抑える。
- 監視するGlobalProtectとファイアウォールの健全性を、異常なトラフィック急増、接続試行の繰り返し、不安定化の兆候、メンテナンスモードへの移行イベントについて
- フェイルオーバーの選択肢を検証して運用上の復旧手順を準備し、帯域外アクセスを維持するとともにインシデント対応計画をテストする。
これらを組み合わせることで、妨害の試みによる被害範囲を縮小し、リモートアクセスを復旧可能な状態に保てる。
リモートアクセス停止のリスク
今回の脆弱性は、GlobalProtectのようなリモートアクセスサービスが依然として価値の高い標的であり、可用性だけに関わる欠陥であっても、パッチを適用せずに放置すれば業務に重大な支障をもたらし得ることを示している。
概念実証コードが存在し、悪用に認証が不要であることから、組織は速やかに露出状況を確認し、修正版リリースを適用するとともに、インターネットに公開されたゲートウェイとポータルを優先すべきだ。
ゼロトラスト戦略へと移行し、暗黙のアクセスを制限してリモートアクセスの脅威による被害範囲を縮小しようとしている。