Palo Alto PAN-OSの脆弱性CVE-2026-0322、root権限の取得に悪用される

Palo Alto Networksは2026年10月14日、ファイアウォールのソフトウェアPAN-OSの脆弱性CVE-2026-0322を公表しました。攻撃者はすでにこの脆弱性を悪用しています。この脆弱性により、ファイアウォールの管理インターフェイスにログインできる攻撃者は、任意のコードをrootとして実行できます。rootとは、デバイス上であらゆる操作ができる管理者アカウントです。米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は連邦政府機関に対し、10月17日までに修正するよう求めました。これらのファイアウォールを運用しているチームは、どこも今日中にバージョンを確認すべきです。

PAN-OSは、Palo Altoのファイアウォールで動くオペレーティングシステムです。ファイアウォールは、多くの企業ネットワークの境界を守るネットワーク機器です。管理インターフェイスとは、管理者がファイアウォールを設定するために使うWebページとサービスです。

脆弱性の内容

Palo Altoのアドバイザリによると、このバグはコードインジェクションの脆弱性です。コードインジェクションとは、攻撃者が入力に自分のコマンドを紛れ込ませ、ソフトウェアにそれを実行させることです。アドバイザリによると、この脆弱性は「ネットワークにアクセスできる認証済みの攻撃者が、ファイアウォール上でroot権限で任意のコードを実行することを可能にします」。

深刻度の一般的な尺度であるCVSS 4.0では10点満点中8.6と評価されており、これは「高」にあたります。攻撃者には有効なログイン情報が必要なので、インターネット上の誰にでも開かれた扉というわけではありません。BleepingComputerによると、攻撃者には既存の認証情報と、管理インターフェイスへのネットワークアクセスが必要です。ベンダーは、「この問題の影響を受けるのに、特別な設定は必要ありません」とも付け加えています。

「Palo Alto Networksの管理インターフェイスを狙った、ごく限定的な悪用が確認されています」とアドバイザリは述べています。BleepingComputerによると、Palo Altoは攻撃に関連する3つのIPアドレスを公開しました。攻撃者が誰なのか、攻撃がいつ始まったのか、何社の顧客が被害を受けたのかは、誰も明らかにしていません。

影響を受ける製品

影響を受けるのは、PA-SeriesとVM-Seriesのファイアウォール、そしてPanoramaの仮想アプライアンスとM-Seriesアプライアンスです。Panoramaは、多数のファイアウォールをまとめて管理するツールです。Palo AltoのクラウドサービスであるCloud NGFWとPrisma Accessは、影響を受けません。

アドバイザリには、次の修正版が載っています。各リリーストレインには、より古いホットフィックスの選択肢もあり、アドバイザリのページに掲載されています。

PAN-OSのリリーストレイン	アップグレード先	より古いホットフィックスの選択肢
12.2	12.2.4以降	記載なし
12.1	12.1.10-h2	12.1.7-h8、12.1.4-h12
11.2	11.2.16	11.2.13-h3、11.2.10-h15、11.2.7-h21、11.2.4-h22
11.1	11.1.16-h3	11.1.13-h15、11.1.10-h35、11.1.7-h11、11.1.6-h39、11.1.4-h37
10.2	10.2.18-h12	10.2.16-h11、10.2.13-h26、10.2.10-h41、10.2.7-h38

バージョン11.2.16は、10月15日に公開されました。ベンダーによると、サポートが終了した古いリリースは、サポート対象の修正版に移行する必要があります。

回避策はなく、あるのは強化策のみ

「この問題に対する既知の回避策はありません」とアドバイザリは述べています。Threat ID 510046と510047のThreat Preventionシグネチャは限定的に防御しますが、それもSSL復号が有効な場合に限られます。アドバイザリは、次の手順も勧めています。

• 管理アクセスは、信頼できる内部のIPアドレス、または1台のジャンプボックス（踏み台サーバー）からだけ許可します。ジャンプボックスとは、堅牢化された1台のマシンで、管理インターフェイスに到達できる唯一のシステムです。
• そのインターフェイスに管理プロファイルを設定し、管理トラフィックをデータポート経由で流します。
• 管理インターフェイスへの受信トラフィックを復号し、それに対して脅威防御（threat prevention）を有効にします。

「インターネット上の外部IPアドレスから管理インターフェイスへのアクセスを許可している場合に、リスクが最も高くなります」とアドバイザリは述べています。

CISAの期限

CSO Onlineによると、CISAは10月14日、この脆弱性を「既知の悪用された脆弱性（Known Exploited Vulnerabilities）」カタログに追加しました。このカタログには、攻撃者による悪用が確認されているバグが載っています。CISAは拘束力のある運用指令（Binding Operational Directive）26-04に基づいて10月17日を期限とし、この脆弱性をフォレンジックトリアージの対象に指定しました。フォレンジックトリアージとは、過去の侵入の痕跡がないかを調べる確認作業です。

このバグは、Palo Alto社内のシニアプリンシパル製品セキュリティ研究者であるSuraj Siddharudh氏が見つけました。SecurityWeekによると、Palo Altoは同じ週にほかにも約12件のアドバイザリを公開しており、いずれも深刻度は「中」または「低」です。エッジデバイスは攻撃の的になり続けています。Tech AI Wireは10月15日、Ivanti Connect Secureのゼロデイ脆弱性の連鎖を報じました。

開発者にとっての意味

• 表と照らしてバージョンを確認すること。 すべてのファイアウォールとPanoramaの機器で、PAN-OSのバージョンを確認してください。各トレインで掲載されたリリースより古いものは、アップグレードが必要です。
• 管理インターフェイスをインターネットから切り離すこと。 ベンダーは、インターネットからのアクセスを許している場合に最もリスクが高いとしています。インターフェイスが外部から到達できる状態なら、まずそれを閉じてください。
• 管理者のログイン情報こそが本当の標的だと考えること。 攻撃者には認証情報が必要です。誰が管理アカウントを持っているかを見直し、パスワードを変更し、可能な場合は2要素目の認証を必須にしてください。
• パッチだけでなく、過去の侵入の痕跡を探すこと。 CISAは、このバグをフォレンジックトリアージの対象にしました。パッチは新たな攻撃を止めますが、先に侵入した攻撃者を追い出すことはできません。Palo Altoが挙げた3つのIPアドレスからのログインがないか、ログを確認してください。
• シグネチャだけに頼らないこと。 Threat ID 510046と510047が役立つのは、SSL復号が有効な場合だけです。アップグレードが終わるまでの一時しのぎにすぎません。