Palo Alto GlobalProtect に認証回避（CVE-2026-0257）— パスワードなしで VPN 接続される

何が起きたか

Palo Alto Networks は 2026年5月13日、PAN-OS の VPN 機能 GlobalProtect に認証回避の脆弱性（CVE-2026-0257）があると公表しました。再ログインを省くための「認証オーバーライド Cookie」を使っていて、その暗号化に HTTPS と同じ証明書を使い回していると、攻撃者が偽の Cookie を作って、パスワードなしで VPN に入れるおそれがあります。

当初の深刻度は中程度でしたが、5月17日ごろから悪用が観測され、CVSS v4.0 で 7.8（高）に引き上げられました。CISA は5月29日に KEV へ登録しています。

影響を受けたのは

• PAN-OS 10.2 / 11.1 / 11.2 / 12.1 の修正前のバージョン（Prisma Access の一部も含む）
• GlobalProtect のポータルやゲートウェイで認証オーバーライド Cookie を有効にしている機器
• Cloud NGFW と Panorama は対象外

自社で確認したいこと

• Palo Alto の案内にある修正版（例: 11.2.12 以降、12.1.7 以降など）へ更新する
• すぐ更新できなければ、認証オーバーライドを無効にするか、Cookie 専用の証明書に分ける
• VPN の接続ログに、心当たりのない接続がないか確認する