情報取得日: 2026/05/29／最終確認: 2026/07/22・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-0257 |
|---|---|
| 製品 | Palo Alto Networks / PAN-OS (GlobalProtect portal/gateway) |
| CVSS | 7.8（High） CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:N |
| 種別 (CWE) | CWE-287 不適切な認証 |
| 登録／公開日 | 2026/05/29 |
| KEV 期限 | 2026/06/01 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダー指示に従い緩和策を適用。緩和策が無ければ製品の使用を停止（CISA KEV）。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-0257 |
PAN-OS の GlobalProtect ポータル/ゲートウェイに存在する認証バイパス脆弱性。Authentication Override Cookie を有効化し、かつその暗号化/復号に使う証明書をポータル/ゲートウェイの HTTPS サービス等の他機能と共用している構成でのみ成立する。攻撃者は認証を回避して不正な VPN 接続を確立できる。ベンダーが 2026-05-13 にアドバイザリを公開、2026-05-17 頃から限定的な実際の悪用が観測され、CISA KEV にも登録された（CVSS を 4.7 から 7.8 High に引き上げ）。影響対象は PAN-OS 12.1/11.2/11.1/10.2 および Prisma Access 10.2/11.2 系。Panorama と Cloud NGFW は影響を受けない。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | ベンダーFW更新 |
AWS 上で稼働する VM-Series の PAN-OS を自ブランチの修正版へ更新（例: 11.2.4-h17+ / 10.2.7-h34+）。暫定は Authentication Override 無効化または専用証明書化
AWS のマネージド提供はなく、VM-Series 利用者の責任範囲。Cloud NGFW は影響を受けない。
参照リンク
|
| GCP | ベンダーFW更新 |
GCP 上で稼働する VM-Series の PAN-OS を修正ホットフィックスへ更新。暫定緩和は Authentication Override 無効化/専用証明書化
GCP 固有パッチは無く、VM-Series 利用者側で更新。Cloud NGFW は対象外。
参照リンク
|
| Azure | ベンダーFW更新 |
Azure 上で稼働する VM-Series の PAN-OS を修正ホットフィックスへ更新。暫定緩和は Authentication Override 無効化/専用証明書化
Azure 固有パッチは無く、VM-Series 利用者側で更新。
参照リンク
|
| Linux | 対象外 |
該当なし（PAN-OS はベンダー独自 OS で、Linux ディストリのパッケージ対象外）
ディストリの CVE トラッカー対象外。ベンダー配布の PAN-OS ホットフィックスで対応する。
参照リンク
|
確認できた公式情報に基づく環境別の対応手順です。実施前に必ず一次情報と自環境で検証してください。
自分の稼働ブランチの修正ホットフィックス（12.1.4-h6 / 12.1.7、11.2.4-h17 ほか、11.1.4-h33 ほか、10.2.7-h34 ほか）へ更新するのが基本方針。即時更新できない場合の緩和策は、Authentication Override を無効化する、または Authentication Override Cookie 専用の証明書を発行して他機能と共用しないようにする。Prisma Access は 10.2.10-h36 / 11.2.7-h13 以降。Cloud NGFW・Panorama は対象外。
High（CVSS 7.8）に分類されるPalo Alto Networks PAN-OS (GlobalProtect portal/gateway)の脆弱性です。PAN-OS の GlobalProtect ポータル/ゲートウェイに存在する認証バイパス脆弱性。Authentication Override Cookie を有効化し、かつその暗号化/復号に使う証明書をポータル/ゲートウェイの HTTPS サービス等の他機能と共用している構成でのみ成立する。攻撃者は認証を回避して不正な VPN 接続を確立できる。ベンダーが 2026-05-13 にアドバイザリを公開、2026-05-17 頃から限定的な実際の悪用が観測され、CISA KEV にも登録された（CVSS を 4.7 から 7.8 High に引き上げ）。影響対象は PAN-OS 12.1/11.2/11.1/10.2 および Prisma Access 10.2/11.2 系。Panorama と Cloud NGFW は影響を受けない。
自分の稼働ブランチの修正ホットフィックス（12.1.4-h6 / 12.1.7、11.2.4-h17 ほか、11.1.4-h33 ほか、10.2.7-h34 ほか）へ更新するのが基本方針。即時更新できない場合の緩和策は、Authentication Override を無効化する、または Authentication Override Cookie 専用の証明書を発行して他機能と共用しないようにする。Prisma Access は 10.2.10-h36 / 11.2.7-h13 以降。Cloud NGFW・Panorama は対象外。
Palo Alto Networks PAN-OS (GlobalProtect portal/gateway) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-0257）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/06/01 です。推奨される対応: ベンダー指示に従い緩和策を適用。緩和策が無ければ製品の使用を停止（CISA KEV）。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/07/22）。