各位
https://www.jpcert.or.jp/at/2026/at260015.html
I. 概要2026年5月13日（現地時間）、Palo Alto Networksは、PAN-OSにおける認証回避の脆弱性（CVE-2026-0265）に関するアドバイザリを公表しました。本脆弱性が悪用された場合、遠隔の第三者によってCloud Authentication Service（CAS）が有効になっているPAN-OSの認証を回避される可能性があります。
Palo Alto Networks
CVE-2026-0265 PAN-OS: Authentication Bypass with Cloud Authentication Service (CAS) enabled
https://security.paloaltonetworks.com/CVE-2026-0265
本脆弱性について、2026年5月20日（現地時間）に海外セキュリティ企業のHacktron AIが詳細解説を公表しており、本脆弱性を悪用してGlobalProtectの認証を回避し、VPN接続が可能であることを示しています。
JPCERT/CCでは、本脆弱性の影響を受ける可能性がある製品が国内で広く利用されていることを確認しています。本脆弱性の詳細解説が公表されたことから、今後攻撃コードが公開され、本脆弱性を悪用する攻撃が国内で広がる可能性があります。
対象となる製品を利用している場合、Palo Alto Networksが提供する情報などを参考に、対策および軽減策の適用を実施してください。
II. 対象本脆弱性の対象となる製品およびバージョンは次のとおりです。詳細は、PaloAlto Networksが提供する最新の情報をご確認ください。
- PAN-OS 12.1.7より前の12.1系のバージョン
- PAN-OS 12.1.4-h5より前の12.1系のバージョン
- PAN-OS 11.2.12より前の11.2系のバージョン
- PAN-OS 11.2.10-h6より前の11.2系のバージョン
- PAN-OS 11.2.7-h13より前の11.2系のバージョン
- PAN-OS 11.2.4-h17より前の11.2系のバージョン
- PAN-OS 11.1.15より前の11.1系のバージョン
- PAN-OS 11.1.13-h5より前の11.1系のバージョン
- PAN-OS 11.1.10-h25より前の11.1系のバージョン
- PAN-OS 11.1.7-h6より前の11.1系のバージョン
- PAN-OS 11.1.6-h32より前の11.1系のバージョン
- PAN-OS 11.1.4-h33より前の11.1系のバージョン
- PAN-OS 10.2.18-h6より前の10.2系のバージョン
- PAN-OS 10.2.16-h7より前の10.2系のバージョン
- PAN-OS 10.2.13-h21より前の10.2系のバージョン
- PAN-OS 10.2.10-h36より前の10.2系のバージョン
- PAN-OS 10.2.7-h34より前の10.2系のバージョン
※CASによる認証プロファイルが有効かつ、CASによる認証プロファイルがログインインタフェースに割り当てられている場合、本脆弱性の影響を受けます。
III. 対策Palo Alto Networksのアドバイザリを参考に、本脆弱性を修正する最新のアップデートを適用してください。※一部のバージョンのアップデートは5月28日に提供予定とのことです
IV. 軽減策修正パッチをすぐに適用できない場合、攻撃の影響を軽減するための対応を検討してください。軽減策の詳細は、Palo Alto Networksから提供される最新の情報を確認してください。
V. 参考情報
Hacktron AI
When Your VPN Opens Your Private Network to the Public
https://www.hacktron.ai/blog/cve-2026-0265-panos-globalprotect-cas-auth-bypass
今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまでご連絡ください。
==============================
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
サイバーセキュリティコーディネーショングループ
Email：ew-info@jpcert.or.jp
JPCERT-AT-2026-0015
JPCERT/CC
2026-05-22
JPCERT/CC Alert 2026-05-22
Palo Alto Networks製PAN-OSにおける認証回避の脆弱性（CVE-2026-0265）に関する注意喚起https://www.jpcert.or.jp/at/2026/at260015.html
I. 概要2026年5月13日（現地時間）、Palo Alto Networksは、PAN-OSにおける認証回避の脆弱性（CVE-2026-0265）に関するアドバイザリを公表しました。本脆弱性が悪用された場合、遠隔の第三者によってCloud Authentication Service（CAS）が有効になっているPAN-OSの認証を回避される可能性があります。
Palo Alto Networks
CVE-2026-0265 PAN-OS: Authentication Bypass with Cloud Authentication Service (CAS) enabled
https://security.paloaltonetworks.com/CVE-2026-0265
本脆弱性について、2026年5月20日（現地時間）に海外セキュリティ企業のHacktron AIが詳細解説を公表しており、本脆弱性を悪用してGlobalProtectの認証を回避し、VPN接続が可能であることを示しています。
JPCERT/CCでは、本脆弱性の影響を受ける可能性がある製品が国内で広く利用されていることを確認しています。本脆弱性の詳細解説が公表されたことから、今後攻撃コードが公開され、本脆弱性を悪用する攻撃が国内で広がる可能性があります。
対象となる製品を利用している場合、Palo Alto Networksが提供する情報などを参考に、対策および軽減策の適用を実施してください。
II. 対象本脆弱性の対象となる製品およびバージョンは次のとおりです。詳細は、PaloAlto Networksが提供する最新の情報をご確認ください。
- PAN-OS 12.1.7より前の12.1系のバージョン
- PAN-OS 12.1.4-h5より前の12.1系のバージョン
- PAN-OS 11.2.12より前の11.2系のバージョン
- PAN-OS 11.2.10-h6より前の11.2系のバージョン
- PAN-OS 11.2.7-h13より前の11.2系のバージョン
- PAN-OS 11.2.4-h17より前の11.2系のバージョン
- PAN-OS 11.1.15より前の11.1系のバージョン
- PAN-OS 11.1.13-h5より前の11.1系のバージョン
- PAN-OS 11.1.10-h25より前の11.1系のバージョン
- PAN-OS 11.1.7-h6より前の11.1系のバージョン
- PAN-OS 11.1.6-h32より前の11.1系のバージョン
- PAN-OS 11.1.4-h33より前の11.1系のバージョン
- PAN-OS 10.2.18-h6より前の10.2系のバージョン
- PAN-OS 10.2.16-h7より前の10.2系のバージョン
- PAN-OS 10.2.13-h21より前の10.2系のバージョン
- PAN-OS 10.2.10-h36より前の10.2系のバージョン
- PAN-OS 10.2.7-h34より前の10.2系のバージョン
※CASによる認証プロファイルが有効かつ、CASによる認証プロファイルがログインインタフェースに割り当てられている場合、本脆弱性の影響を受けます。
III. 対策Palo Alto Networksのアドバイザリを参考に、本脆弱性を修正する最新のアップデートを適用してください。※一部のバージョンのアップデートは5月28日に提供予定とのことです
IV. 軽減策修正パッチをすぐに適用できない場合、攻撃の影響を軽減するための対応を検討してください。軽減策の詳細は、Palo Alto Networksから提供される最新の情報を確認してください。
V. 参考情報
Hacktron AI
When Your VPN Opens Your Private Network to the Public
https://www.hacktron.ai/blog/cve-2026-0265-panos-globalprotect-cas-auth-bypass
今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまでご連絡ください。
==============================
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
サイバーセキュリティコーディネーショングループ
Email：ew-info@jpcert.or.jp
前
コメント
共 有
