CVE-2026-0300：国家支援ハッカーがPalo Altoファイアウォールを攻撃

CVE-2026-0300：国家支援ハッカーがPalo Altoファイアウォールを攻撃

Palo Alto NetworksのPAN-OSソフトウェアに存在する重大なゼロデイ脆弱性が、国家支援を受けた疑いのある脅威アクターによって積極的に悪用されていることが、同社によって確認された。CVE-2026-0300として追跡されるこの欠陥は、認証されていない攻撃者がインターネットに公開されたファイアウォール上で任意のコードを実行することを可能にする。認証不要かつ完全なコード実行アクセスという組み合わせにより、このPalo Altoのゼロデイを利用した国家支援攻撃は、今年開示された企業レベルの脅威の中でも特に深刻なものの一つとなっている。

Palo Alto Networksは悪用活動を特定し、パッチの開発を進めながら顧客に警告を発している。標的のパターンは国家的アクターを示唆しているが、帰属については完全には公表されていない。

CVE-2026-0300の内容と、認証不要のRCEが非常に危険な理由

CVE-2026-0300は、PAN-OSのUser-ID認証ポータル（キャプティブポータルコンポーネントとも呼ばれる）に存在するバッファオーバーフロー脆弱性だ。バッファオーバーフローは、プログラムがメモリバッファの容量を超えるデータを書き込んだときに発生し、攻撃者が隣接するメモリを上書きして悪意のある命令を注入できる可能性がある。

この欠陥が特に深刻なのは、悪用に認証が一切不要である点だ。攻撃者は認証情報を盗んだり、多要素認証を回避したり、ネットワーク内で事前の偵察を行ったりする必要がない。ファイアウォールの管理インターフェースやキャプティブポータルがインターネットから到達可能であれば、扉は開いている。

ファイアウォールレベルでのリモートコード実行（RCE）は、組織にとってほぼ最悪の事態といえる。ファイアウォールは単一のデバイスではなく、その背後にあるすべてのものを守るゲートキーパーだ。境界ファイアウォール上でRCEを持つ攻撃者は、トラフィックを傍受し、内部ネットワークへ横展開し、セキュリティルールを無効化し、永続的なバックドアを仕掛けることができる。侵害されたファイアウォールへのパッチ適用は、はるかに長い復旧プロセスの第一歩に過ぎない。

攻撃の背後にいる者と標的となるインフラ

Palo Alto Networksは悪用活動を国家支援を受けた疑いのあるアクターに帰属させているが、特定の国やグループを公式に名指しはしていない。企業ファイアウォールインフラを標的にするパターンは、通常、日和見的な金銭犯罪ではなく、スパイ活動、長期的なネットワークアクセス、情報収集を目的とする、高い能力とリソースを持つ洗練されたグループが用いる戦術と一致している。

このパターンは新しいものではない。国家的アクターはルーター、VPNアプライアンス、ファイアウォールなどのネットワークインフラデバイスへとその焦点をますます移しており、それはまさにこれらのデバイスがあらゆる組織の防御の端に位置しているからだ。境界を侵害することは、可視性を侵害することを意味する。

標的はインターネットに公開されたPAN-OSを使用している組織であり、大企業、政府機関、金融機関、重要インフラの運営者が含まれる。中国共産党に関連するハッキンググループによる世界53か所への攻撃をGoogleが阻止した事例が示すように、国家支援のキャンペーンは複数のセクターや地域をまたいで同時に大規模に展開するのが常だ。

侵害されたファイアウォールがその背後の全員を危険にさらす仕組み

多くの人はファイアウォールの侵害をITの問題と考える。しかし実際には、そのファイアウォールの背後にいるすべての人とシステムにとっての問題だ。

ファイアウォールがRCEによってオペレーティングシステムレベルで侵害されると、攻撃者は事実上ネットワーク管理者となる。暗号化された内部通信が傍受される可能性がある。直接標的にされなかったエンドポイントデバイスが突然アクセス可能になる。転送中の機密データ（認証情報、内部文書、通信など）が、いかなるアラートも発せられることなく漏洩する恐れがある。

リモートワーカーを支援する組織では、被害の範囲はさらに広がる。侵害されたファイアウォールで終端するVPNトラフィックは攻撃者に見えている可能性がある。これが多層防御が重要な理由だ。境界防御が堅固とみなされる場合でも、エンドツーエンドの暗号化ツールとアプリケーション層のセキュリティ制御は依然として不可欠だ。

ここでの広範な教訓は、他の国家支援キャンペーンでアナリストが観察してきたことと同じだ。ドイツ当局者をSignalで標的にしたロシアのフィッシング攻撃に関する報道でも取り上げられているように、国家的アクターは複数のベクターを同時に追求する。一つの経路が強化されると、別の経路が探られる。このようなインフラレベルの攻撃は、ユーザー向けのセキュリティツールのレーダーをほぼ下回って機能するため、魅力的な標的となる。

組織と個人が今すぐ取るべき行動

Palo Alto Networksのインフラを管理するセキュリティチームにとって、当面の優先事項は明確だ。

まず、PAN-OSのキャプティブポータルまたはUser-ID認証ポータルがパブリックインターネットに公開されているかどうかを確認する。公開されている場合は、直ちにアクセスを制限する。Palo Alto Networksは、パッチが確定するまでの暫定的な緩和策として、管理インターフェースのアクセスを信頼済みIPレンジに限定することを推奨している。

次に、ファイアウォールのログを確認し、悪用がすでに発生した可能性を示す異常な活動がないか調べる。予期しないアウトバウンド接続、通常とは異なる認証イベント、または承認された管理者操作に対応しない設定変更を探す。

三つ目に、Palo Alto Networksの公式パッチがリリースされ次第、直ちに適用する。待ってはいけない。国家支援のアクターは、ゼロデイが公表されると通常迅速に動き、他の日和見的な攻撃者も間もなく同じ脆弱性に便乗することが多い。

上流でPalo Altoインフラを使用しているサービスプロバイダーやクラウド環境に依存する個人や小規模組織にとっては、実際の手順が異なる。プロバイダーに直接、影響を受けているかどうか、またどのような緩和策を適用したかを確認する。機密通信がネットワーク境界から独立したアプリケーション層の暗号化によって保護されているかどうかを検討する。

洗練されたハッカーがなぜ発見・訴追されにくいのかを理解することで、このようなインシデントにおいて法執行機関の対応を待つことがなぜほとんど現実的な戦略ではないかが説明できる。組織のレジリエンスは社内の準備態勢に依存しており、事後的な修復に頼るものではない。

より大きな視点

CVE-2026-0300は、エンタープライズグレードのハードウェアが本質的に悪用から免れるわけではないという鋭い警告だ。国家支援のアクターは組織インフラの高価値なチョークポイントを特に狙っており、ファイアウォールはまさにそれに該当する。境界デバイスに寄せられる暗黙の信頼が、その侵害を特に深刻なものにする。

最善の対応は、緊急の技術的対策（パッチ適用、アクセス制限、ログ確認）と、単一のデバイスがその背後のすべてを保護するためにどれほど信頼されているかについての長期的な再評価を組み合わせることだ。ベンダーがどれほど評判が高くても、単一のコントロールポイントを絶対確実なものとして扱うべきではない。防御を多層化している組織は、次にこのようなゼロデイが表面化した際に、はるかに強固な立場にあるだろう。