サイバーセキュリティ

注意喚起: Palo Alto Networks製PAN-OSにおける認証回避の脆弱性（CVE-2026-0265）に関する注意喚起 (公開)

JPCERT/CCは、Palo Alto Networks製PAN-OSにおける認証回避の脆弱性（CVE-2026-0265）に関する注意喚起を発表しました。本脆弱性が悪用されると、Cloud Authentication Service（CAS）が有効なPAN-OSの認証が遠隔から回避され、GlobalProtect VPN接続が可能になる恐れがあります。国内で影響を受ける製品が広く利用されており、詳細な解説が公開されたことから、今後攻撃が拡大する可能性があります。対象製品の利用者は、Palo Alto Networksが提供する情報に基づき、速やかに最新のアップデート適用または軽減策の実施が求められます。

この発表の要点

Palo Alto Networks製PAN-OSに認証回避の脆弱性（CVE-2026-0265）が存在する。
Cloud Authentication Service (CAS) が有効なPAN-OSで認証が回避され、GlobalProtect VPN接続が可能になる可能性がある。
国内で影響を受ける製品が広く利用されており、攻撃拡大の恐れがあるため、速やかな対策適用が求められる。

企業・自治体への影響

企業や組織のIT部門、情報システム部門は、Palo Alto Networks製PAN-OSを利用している場合、認証回避による不正アクセスやVPN接続の乗っ取りのリスクに直面します。特にCloud Authentication Service (CAS) およびGlobalProtectを利用している環境は影響が大きく、事業継続性や情報資産の保護に重大な影響を及ぼす可能性があります。

対応すべきこと

自社でPalo Alto Networks製PAN-OSの利用状況を確認する。
対象となるバージョンを使用している場合、Palo Alto Networksのアドバイザリを参照し、最新のアップデートを速やかに適用する。
直ちにアップデートが困難な場合は、Palo Alto Networksが提供する軽減策を検討し適用する。
関係部門（情シス、経営者、広報）へ本注意喚起を共有し、対応状況を管理する。

対応優先度： 高　認証回避の脆弱性であり、遠隔からの不正アクセスやVPN接続の乗っ取りにつながる可能性があり、国内での攻撃拡大が懸念されるため。

対象部門： 経営者情シス広報

対応期限：速やかに確認

基本データ

企業・団体	一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
業界	IT・ソフトウェア
分類	サイバーセキュリティ

発表された内容

2026年5月13日（現地時間）、Palo Alto Networksは、PAN-OSにおける認証回避の脆弱性（CVE-2026-0265）に関するアドバイザリを公表しました。本脆弱性が悪用された場合、遠隔の第三者によってCloud Authentication Service（CAS）が有効になっているPAN-OSの認証を回避される可能性があります。

Palo Alto Networks
CVE-2026-0265 PAN-OS: Authentication Bypass with Cloud Authentication Service (CAS) enabled
https://security.paloaltonetworks.com/CVE-2026-0265

本脆弱性について、2026年5月20日（現地時間）に海外セキュリティ企業のHacktron AIが詳細解説を公表しており、本脆弱性を悪用してGlobalProtectの認証を回避し、VPN接続が可能であることを示しています。

JPCERT/CCでは、本脆弱性の影響を受ける可能性がある製品が国内で広く利用されていることを確認しています。本脆弱性の詳細解説が公表されたことから、今後攻撃コードが公開され、本脆弱性を悪用する攻撃が国内で広がる可能性があります。

対象となる製品を利用している場合、Palo Alto Networksが提供する情報などを参考に、対策および軽減策の適用を実施してください。

II. 対象本脆弱性の対象となる製品およびバージョンは次のとおりです。詳細は、Palo Alto Networksが提供する最新の情報をご確認ください。

– PAN-OS 12.1.7より前の12.1系のバージョン
– PAN-OS 12.1.4-h5より前の12.1系のバージョン
– PAN-OS 11.2.12より前の11.2系のバージョン
– PAN-OS 11.2.10-h6より前の11.2系のバージョン
– PAN-OS 11.2.7-h13より前の11.2系のバージョン
– PAN-OS 11.2.4-h17より前の11.2系のバージョン
– PAN-OS 11.1.15より前の11.1系のバージョン
– PAN-OS 11.1.13-h5より前の11.1系のバージョン
– PAN-OS 11.1.10-h25より前の11.1系のバージョン
– PAN-OS 11.1.7-h6より前の11.1系のバージョン
– PAN-OS 11.1.6-h32より前の11.1系のバージョン
– PAN-OS 11.1.4-h33より前の11.1系のバージョン
– PAN-OS 10.2.18-h6より前の10.2系のバージョン
– PAN-OS 10.2.16-h7より前の10.2系のバージョン
– PAN-OS 10.2.13-h21より前の10.2系のバージョン
– PAN-OS 10.2.10-h36より前の10.2系のバージョン
– PAN-OS 10.2.7-h34より前の10.2系のバージョン

※CASによる認証プロファイルが有効かつ、CASによる認証プロファイルがログインインタフェースに割り当てられている場合、本脆弱性の影響を受けます。

III. 対策Palo Alto Networksのアドバイザリを参考に、本脆弱性を修正する最新のアップデートを適用してください。
※一部のバージョンのアップデートは5月28日に提供予定とのことです

IV. 軽減策修正パッチをすぐに適用できない場合、攻撃の影響を軽減するための対応を検討してください。軽減策の詳細は、Palo Alto Networksから提供される最新の情報を確認してください。

V. 参考情報
Hacktron AI
When Your VPN Opens Your Private Network to the Public
https://www.hacktron.ai/blog/cve-2026-0265-panos-globalprotect-cas-auth-bypass

今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまでご連絡ください。

一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
サイバーセキュリティコーディネーショングループ
Email：ew-info@jpcert.or.jp

Topへ

出典: JPCERT/CC セキュリティ注意喚起
URL: https://www.jpcert.or.jp/at/2026/at260015.html

時系列

2026-05-13　Palo Alto NetworksがPAN-OSにおける認証回避の脆弱性（CVE-2026-0265）に関するアドバイザリを公表
2026-05-20　海外セキュリティ企業のHacktron AIが本脆弱性の詳細解説を公表し、GlobalProtectの認証回避とVPN接続の可能性を示す
2026-05-28　一部のバージョンのアップデートが提供予定

主な数値

脆弱性識別子	CVE-2026-0265ID
影響を受けるPAN-OSバージョン	複数のPAN-OS 12.1系、11.2系、11.1系、10.2系のバージョンバージョン

この事例から確認すべきポイント

本注意喚起は、Palo Alto Networks製PAN-OSに存在する認証回避の脆弱性（CVE-2026-0265）について、その深刻な影響と緊急の対策の必要性を示しています。特に、Cloud Authentication Service（CAS）が有効な環境では、遠隔の第三者による認証回避が可能となり、GlobalProtect VPN接続を悪用されるリスクがある点が強調されています。脆弱性の詳細な解説が既に公開されているため、攻撃コードの出現と国内での攻撃拡大の可能性が高く、企業や組織は迅速な対応が求められます。JPCERT/CCが国内での製品利用の広さを確認していることから、広範な影響が懸念されます。影響を受けるバージョンの特定と、Palo Alto Networksが提供する最新のアップデート適用、または修正パッチ適用が困難な場合の軽減策の実施が不可欠です。現時点で取得できた本文からは、詳細な攻撃手法や具体的な被害事例を確認できませんでした。詳細は公式出典をご確認ください。

公式出典

更新履歴

公開日: 2026-05-22