5月に修正済みのVPNの弱点が、ランサムウェアの侵入口に　パロアルトネットワークス製品の事例から考える「更新の遅れ」

何が分かったのか

修正版が出てから約5カ月たった脆弱性が、ランサムウェア集団の確実な侵入口になっています。 米パロアルトネットワークスの調査部門Unit 42は、同社のファイアウォール用OS「PAN-OS」のVPN機能（GlobalProtect）にある脆弱性CVE-2026-0257について報告を更新し、10月19日にランサムウェア集団の関与を加えました。名前が挙がったのは、Qilin（キリン）とINCと呼ばれる集団などです（Unit 42（外部サイトが新しいタブで開きます））。

この脆弱性は、本来の利用者でない者がVPN接続を確立できてしまう種類の弱点です。修正版は2026年5月から提供され、米国の政府機関CISAは5月13日に「悪用が確認された脆弱性」の一覧に加えています。

なぜ今、問題になっているのか

更新されていない機器が、時間をかけて狙われ続けているためです。 Unit 42は6月上旬から攻撃の試みを観測しており、狙われているのは修正も回避策も施していない機器だと説明しています。標的は教育、金融、医療、製造、政府、運輸・物流、電力・エネルギー、小売など幅広い業種に及びます。

米メディアのCybersecurity Diveによると、セキュリティ企業ReliaQuestの幹部は、公表から約5カ月で、この弱点がランサムウェア集団にとって「確実な侵入方法」になったと述べています（Cybersecurity Dive（外部サイトが新しいタブで開きます））。

侵入されると何が起きるのか

入口を越えられると、社内の重要なシステムに短時間で手が届きます。 Unit 42の報告によると、攻撃者は多要素認証を回避してVPNに接続し、社内の調査や認証情報の窃取、データの持ち出しを経てランサムウェアを展開しています。ある事例では、仮想化基盤（複数のサーバーをまとめて動かす土台）に移り、そこでセキュリティ対策を止めたうえで、社内全体のアカウント情報を抜き出していました。各サーバーに入れた監視ソフトを迂回できる方法だとしています。

企業はどう受け止めるべきか

「多要素認証を入れたから安心」とは言えないことを示しています。 多要素認証は、盗まれたパスワードでの不正ログインを防ぐ有効な対策です。しかし今回のように入口の機器そのものに弱点があれば、その仕組みを経由せずに入られます。

編集部は、こうした機器の更新が業務停止をともなうために後回しにされやすい点に、構造的な課題があると考えます。更新のための計画停止の枠をあらかじめ確保しておくことが、経営として決められる対策の1つです。