--- title: "PAN-OSの脆弱性CVE-2024-0012とは？修正版と悪用済みCVE一覧・確認手順【2026年10月】" url: "https://www.issoh.co.jp/tech/details/4972/" published: 2025-01-23 updated: 2026-10-28 categories: ["脆弱性・インシデント"] publisher: "株式会社一創" --- # PAN-OSの脆弱性CVE-2024-0012とは？修正版と悪用済みCVE一覧・確認手順【2026年10月】 CVE-2024-0012は、Palo Alto NetworksのファイアウォールOSであるPAN-OSの管理Webインターフェースに見つかった認証回避の脆弱性です。管理画面にネットワークで届く攻撃者が、ログインせずに管理者権限を得られます。2024年11月18日に公表され、同じ日にCISAの既知の悪用された脆弱性カタログ（KEV）へ登録されました。 この記事では、CVE-2024-0012と組み合わせて悪用されたCVE-2024-9474の仕組み、影響版と修正版を先に整理します。そのうえで、2026年10月に悪用が確認されたCVE-2026-0322とPHP2Shell（CVE-2026-109618・109619）の修正版、2024年から2026年にKEVへ載ったPAN-OSの悪用済みCVEの一覧、自社機器の版と管理画面の公開範囲を確かめる手順、パッチを当てられないときの緩和策、侵害を疑うときの調査項目までを扱います。数値と版番号は、Palo Alto Networksのセキュリティアドバイザリ、NVD、KEVを2026年10月28日に確認した時点のものです。 ## まとめ：PAN-OSの修正版適用と管理画面のアクセス制限 - CVE-2024-0012の影響はPAN-OS 10.2・11.0・11.1・11.2です。修正版は10.2.12-h2・11.0.6-h1・11.1.5-h1・11.2.4-h1以降で、Cloud NGFWとPrisma Accessは対象外です。 - CVE-2024-9474（権限昇格）と連鎖させると、未認証の攻撃者がroot権限でコマンドを実行できます。実際にWebシェルの設置が確認されています。 - 同じ管理Webインターフェースでは、2025年2月にも認証回避のCVE-2025-0108が悪用されました。修正版を適用した後も、管理画面をインターネットに公開し続けると、今後見つかる管理機能の脆弱性による攻撃を直接受けるおそれがあります。 - 2026年10月には、管理Webインターフェースの認証済みRCEであるCVE-2026-0322（10月14日公表、同日KEV追加）と、管理Web UIとXML APIに影響するPHP2Shell（10月21日公表、悪用確認あり）が続きました。PHP2Shellの修正版は一部の系統で10月29日〜30日の公開予定です。 - 2026年10月28日時点で上げる版の目安は、PHP2Shellの修正版（12.2.4-h1・11.2.16-h1・11.1.16-h4・10.2.18-h13など）です。CVE-2024-0012の修正版で止めると、その後のCVE-2026-0300・0310・0322・PHP2Shellが残ります。 - 公式アドバイザリは、管理画面へインターネットから接続できる構成をCVSS v4.0で9.3、接続元を踏み台サーバーだけに限定した構成を5.9と評価しています。管理画面の接続元の制限は、パッチ適用と並んで最初に確認すべき設定です。 ## CVE-2024-0012とCVE-2024-9474の仕組みと悪用の流れ 2つのCVEは別々の脆弱性ですが、攻撃では組み合わせて使われました。Palo Alto Networksの脅威調査チームUnit 42は、最初に観測されたこの攻撃活動をOperation Lunar Peekと名付けて追跡しています。 ### 管理Webインターフェースの認証回避と公開範囲別の2つのCVSSスコア CVE-2024-0012は、管理Webインターフェースへネットワークで到達できる未認証の攻撃者に、PAN-OSの管理者権限を与えてしまう不具合です。攻撃者は設定の改ざんや管理操作ができるほか、管理者権限が前提の別の脆弱性を続けて悪用できます。分類はCAPEC-115（認証回避）です。 アドバイザリはCVSS v4.0のスコアを構成別に2つ示しています。インターネット上の外部IPから管理画面へ届く構成が9.3、踏み台サーバーだけに接続を許した構成が5.9です。同じ脆弱性でも、管理画面の公開範囲で深刻度が大きく変わるということです。スコアの読み方は[CVSSの深刻度スコアの見方](/tech/details/5094/)で解説しています。 ### CVE-2024-9474との連鎖でroot権限のコマンド実行に至る流れ CVE-2024-9474は、管理Webインターフェースにアクセスできる管理者が、ファイアウォール上でroot権限の操作を実行できる権限昇格の脆弱性です（CVSS v4.0で6.9、分類はCAPEC-88のOSコマンドインジェクション）。単体では管理者権限が前提ですが、CVE-2024-0012でその管理者権限を認証なしに得られるため、2つを続けると未認証からroot権限でのコマンド実行まで到達します。未認証で管理者の操作ができてしまう構造は、[認可バイパスと権限昇格の仕組み](/tech/details/16399/)の典型例です。 Unit 42によると、侵害された機器では対話的なコマンド実行や、難読化されたPHPのWebシェルの設置が確認されています。なお、CVE-2024-9474の影響範囲はCVE-2024-0012より広く、PAN-OS 10.1とWildFireアプライアンスも含みます。 ### 2024年11月8日の事前告知から修正版公開・KEV登録までの時系列 このCVEは、番号が付く前に注意喚起が先行しました。アドバイザリの改訂履歴を並べると次のとおりです（日付はUTC）。 - 11月8日：CVE番号のないPAN-SA-2024-0015として公開し、管理画面へのアクセス制限を呼びかけ - 11月14日：攻撃活動を観測したとして深刻度を引き上げ - 11月18日：CVE-2024-0012を割り当てて修正版を公開。CISAが同日、CVE-2024-9474とあわせてKEVに登録 - 11月19日：第三者の研究者が技術的な詳細と検証コード（PoC）を公開。Unit 42はこれ以降、攻撃活動が増えたとしている - 11月19日（日本時間）：JPCERT/CCが注意喚起を公開 11月8日の時点で管理画面を内部IPに絞っていた組織は、パッチが出るまでの10日間も攻撃を受けにくい状態でした。事前告知は番号が付いていないため、CVE番号だけで脆弱性情報を追っていると見落とします。 ## CVE-2024-0012の系列別の影響版と修正版・対象外の製品 影響を受けるのは、PA-Series・VM-Series・CN-Seriesのファイアウォールと、Panorama（仮想版とM-Series）で動くPAN-OSです。 | PAN-OSの系列 | CVE-2024-0012 | CVE-2024-9474 | 修正版 | | ------------------------ | ------------- | ------------- | ------------------ | | 11.2 | 影響あり | 影響あり | 11.2.4-h1以降 | | 11.1 | 影響あり | 影響あり | 11.1.5-h1以降 | | 11.0 | 影響あり | 影響あり | 11.0.6-h1以降 | | 10.2 | 影響あり | 影響あり | 10.2.12-h2以降 | | 10.1 | 影響なし | 影響あり | 10.1.14-h6以降（9474） | | Cloud NGFW・Prisma Access | 影響なし | 影響なし | 対応不要 | 上の修正版に加え、よく使われている保守リリースにもホットフィックスが出ています。たとえば10.2系では10.2.4-h32や10.2.9-h16、11.1系では11.1.2-h15などが修正済みです。自社の版がどれに当たるかは、[CVE-2024-0012のセキュリティアドバイザリ](https://security.paloaltonetworks.com/CVE-2024-0012)の修正版一覧で確認してください。 ### GlobalProtectだけを公開している構成の影響と管理設定の確認 GlobalProtectのポータルとゲートウェイ自体はCVE-2024-0012の影響を受けません。ただし、GlobalProtectを動かすインターフェースに管理プロファイルを設定していると、そこから管理Webインターフェース（通常はポート4443）に届くため、攻撃を受ける状態になります。リモートアクセスVPNのためにインターネット側へ開けたインターフェースで、管理プロファイルが有効になっていないかを確認してください。 ### 2026年10月時点のPAN-OSのサポート状況と更新先の判断基準 CVE-2024-0012の修正版は2024年11月時点のもので、2026年10月の時点で更新先を判断する目安としては不十分です。その後もPAN-OSでは重大な脆弱性の修正が続いています。2026年9月9日公表の[CVE-2026-0310](https://security.paloaltonetworks.com/CVE-2026-0310)（XML処理のバッファオーバーフロー）は特別な設定がなくても影響し、回避策もありません。KEVには2026年10月27日版の時点でも載っていません。10月にはさらに後述のCVE-2026-0322とPHP2Shellが公表され、どちらも悪用が確認されたため、更新先の基準は10月21日公表のPHP2Shellの修正版に移りました。各系列で上げるべき版の目安は次のとおりです。 | 系列 | 標準サポート終了 | 延長サポート終了 | 10月28日時点の更新先の目安 | | ---- | ---------- | ---------- | --------------------- | | 12.2 | 2029-07-30 | 2030-07-30 | 12.2.4-h1以降 | | 12.1 | 2028-08-28 | 2029-08-28 | 12.1.10-h3以降（10/30予定） | | 11.2 | 2027-05-02 | 2027-08-31 | 11.2.16-h1以降 | | 11.1 | 2027-05-03 | 2027-08-31 | 11.1.16-h4以降 | | 10.2 | 2025-08-27 | 2027-03-31 | 10.2.18-h13以降 | | 11.0 | 2024-11-17 | なし | サポート中の系列へ移行 | 表の更新先は各系列の最新の系統で、CVE-2026-0310・0322・PHP2Shellの修正をまとめて含みます。12.1系の最新系統（12.1.10-h3）は10月28日時点で未公開のため、12.1.7系を使っている機器は公開済みの12.1.7-h11へ上げる選択肢があります。サポート期限はPalo Alto Networksの[End-of-Life Summary](https://www.paloaltonetworks.com/services/support/end-of-life-announcements/end-of-life-summary)の値で、10.2の延長サポート終了日は2026年5月12日に更新されたものです。11.0はすでにサポートが終わっており、CVE-2025-0108のアドバイザリでも11.0は「サポート中の修正版へ上げる」とだけ書かれ、修正版は出ていません。10.2では修正版への更新を進めながら、延長サポート終了に備えて系列の移行を計画してください。11.0は修正版が出ないため、サポート中の系列へ移行してください。機器の最終対応OSに指定された系列には、ハードウェアのサポート終了日まで延長される例外があります。 ## 2026年10月に悪用されたCVE-2026-0322とPHP2Shellの影響版と修正版 CVE-2024-0012と同じ管理Webインターフェースで、2026年10月に悪用が確認された脆弱性が2件続きました。どちらもPanorama（仮想版とM-Series）を含み、Cloud NGFWとPrisma Accessは対象外です。対策の柱が「修正版の適用」と「管理画面の接続元の制限」である点は、CVE-2024-0012のときと変わりません。 ### 管理画面の認証済みRCEであるCVE-2026-0322の修正版とKEV期限 [CVE-2026-0322のアドバイザリ](https://security.paloaltonetworks.com/CVE-2026-0322)は2026年10月14日に公表されました。管理Webインターフェースにネットワークで届き、認証を済ませた攻撃者が、ファイアウォール上でroot権限の任意コードを実行できるコードインジェクション（CWE-94）です。CVSS v4.0はインターネットから管理画面へ届く構成で8.6、踏み台サーバーに限った構成でも8.5と、CVE-2024-0012ほど公開範囲で差が出ません。NVDのCVSS v3.1は7.2です。 悪用は「非常に限定的」とされていますが、CISAは公表と同じ10月14日にKEVへ追加し、米国連邦機関に3日後の10月17日までの対応を求めました。特別な設定がなくても影響し、回避策はありません。主な修正版は12.2.4・12.1.10-h2・11.2.16・11.1.16-h3・10.2.18-h12以降で、11.2.16は公表翌日の10月15日に公開されています。認証済みの攻撃者が前提のため、修正版の適用に加えて、管理者アカウントの不審なログインや認証情報の使い回しがないかも合わせて確認してください。 ### PHP2Shellが管理Web UIとXML APIに影響する条件と公開済みの修正版 PHP2Shellは、PHP本体に見つかった2件のリモートコード実行の脆弱性（CVE-2026-109618・109619）の通称です。メモリ不足やエラーの処理で未初期化・解放済みのメモリが残る不具合で、CISAは10月21日に[即時のパッチ適用を求めるアラート](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching)を出し、10月26日にKEVへ追加しました（期限は10月29日）。PHPそのものの影響範囲や一般のWebサーバーでの更新手順は[PHP2Shellの影響範囲と修正版](/tech/details/18738/)で解説しています。 PAN-OSでの影響は、Palo Alto Networksの[PHP2Shellの製品別アドバイザリ](https://security.paloaltonetworks.com/CVE-2026-109618)（2026年10月21日公表、10月28日更新）にまとまっています。影響するのはHTTPSの管理Web UIとXML APIサービスに限られ、GlobalProtectのポータル・ゲートウェイ・クライアントレスVPNとキャプティブポータルは対象外です。データプレーンのインターフェースは、管理プロファイルを付けている場合だけ影響を受けます。インターネットに管理画面を公開した機器への攻撃が確認されており、CVSS v4.0はその構成で9.2、踏み台サーバーに限った構成で7.7です。10月27日には深刻度がCriticalに、推奨の緊急度が最も高い区分に引き上げられました。 | 系列 | 最新系統の修正版 | 10月28日時点の状況 | | ---- | ----------- | ----------- | | 12.2 | 12.2.4-h1 | 公開済み | | 12.1 | 12.1.10-h3 | 10月30日公開予定 | | 11.2 | 11.2.16-h1 | 公開済み | | 11.1 | 11.1.16-h4 | 公開済み | | 10.2 | 10.2.18-h13 | 公開済み | 保守リリース向けのホットフィックスは、12.1.7-h11・11.2.13-h4・11.2.10-h16・11.2.7-h23・11.1.13-h16・11.1.10-h36・11.1.6-h40・11.1.4-h38・10.2.16-h12・10.2.13-h27が公開済みです。未公開のものは12.1.4-h13と10.2.10-h42が10月29日、11.2.4-h23・11.1.7-h12・10.2.7-h39が10月30日の予定とされています。予定日はアドバイザリの更新で変わるため、作業前にもう一度確認してください。修正版が出るまでの暫定策は、管理画面の接続元を信頼できる内部IPに限ることと、後述のThreat IDを条件付きで有効にすることです。 ### Brotliの脆弱性CVE-2026-111497がPAN-OSに影響する設定の確認 PHP2Shellとほぼ同時に、圧縮ライブラリBrotliのバッファオーバーフロー（CVE-2026-111497）も[別のアドバイザリ](https://security.paloaltonetworks.com/CVE-2026-111497)（10月26日公表）でPAN-OSへの影響が示されました。こちらは管理画面ではなく、データプレーンでBrotli圧縮の通信を検査し、TLS/SSL復号も有効にしているPA-SeriesとVM-Seriesが対象です。Brotli検査はPAN-OS 11.2.4より前では使えないため、11.1系と10.2系は影響を受けません。Palo Alto Networksは悪用を把握していないとしていますが、CISAは10月27日にBrotliのCVEとしてKEVへ追加しています。 修正はPHP2Shellと同じホットフィックスに含まれます。例外は11.2.10-h16で、これはPHP2Shellだけの修正なので、Brotliまで直すには11.2.10-h17が必要です。修正版を当てるまでは、CLIで次のように設定を確かめ、必要ならBrotli検査を無効にします。 ``` admin@PA-VM> show system setting brotli Enabled: yes admin@PA-VM> set system setting brotli-encoding disable admin@PA-VM> show system setting brotli Enabled: no ``` 「Enabled: yes」と出る機器だけが影響を受けます。PAN-OS 12.1.2以降ならWeb画面のDevice > Setup > Content-IDで「Allow Brotli Encoding」のチェックを外してコミットしても同じ効果です。Node.jsやPythonなど、ファイアウォール以外のソフトウェアに含まれるBrotliの更新は[Brotliの脆弱性CVE-2026-111497の更新手順](/tech/details/18991/)にまとめています。 ## Palo Alto Networks製品の悪用済みCVEと対象機能の一覧 CISAの[KEVカタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)（2026年10月27日版）でPalo Alto Networksの製品は16件あり、そのうち2024〜2026年のもの12件を、CISA KEVに基づき次の一覧にまとめました。「ランサムウェア」欄はKEVが既知のランサムウェア攻撃での利用を確認しているかを示します。 | CVE | KEV登録日 | 対象の機能 | 種類 | ランサムウェア | | ------------------ | ---------- | ------------- | ----------- | ------- | | CVE-2026-0322 | 2026-10-14 | 管理Webインターフェース | コード実行（認証済み） | 不明 | | CVE-2026-0257 | 2026-05-29 | GlobalProtect | 認証回避 | 確認あり | | CVE-2026-0300 | 2026-05-06 | User-ID認証ポータル | バッファオーバーフロー | 不明 | | CVE-2025-0111 | 2025-02-20 | 管理Webインターフェース | ファイル読み取り | 不明 | | CVE-2025-0108 | 2025-02-18 | 管理Webインターフェース | 認証回避 | 不明 | | CVE-2024-3393 | 2024-12-30 | DNS Security | DoS | 不明 | | CVE-2024-0012 | 2024-11-18 | 管理Webインターフェース | 認証回避 | 確認あり | | CVE-2024-9474 | 2024-11-18 | 管理Webインターフェース | 権限昇格 | 確認あり | | CVE-2024-9463・9465 | 2024-11-14 | Expedition | コマンド実行・SQL | 不明 | | CVE-2024-5910 | 2024-11-07 | Expedition | 認証の欠如 | 不明 | | CVE-2024-3400 | 2024-04-12 | GlobalProtect | コマンド実行 | 確認あり | PHP2Shell（10月26日追加）とBrotli（10月27日追加）もKEVに載っていますが、製品名はPalo Alto NetworksではなくPHPとGoogle Brotliとして登録されています。KEVをベンダー名で絞り込んで自社機器の悪用済みCVEを洗い出す運用では、この2件が抜け落ちる点に注意してください。KEVの期限の決まり方は[BOD 26-04とKEVの是正期限の仕組み](/tech/details/18233/)で解説しています。ExpeditionはPAN-OSではなく、他社ファイアウォールの設定をPAN-OSへ移行するためのツールです。移行作業のあとも起動したまま残していないかを確認してください。 ### 管理Webインターフェースで認証回避が繰り返された経緯と連鎖攻撃 CVE-2024-0012の3か月後、2025年2月12日に公表されたCVE-2025-0108も、管理Webインターフェースの認証回避でした。こちらは認証なしで一部のPHPスクリプトを呼び出せる不具合で、単体ではコード実行に至りません。しかしPalo Alto Networksは、CVE-2025-0108をCVE-2024-9474とCVE-2025-0111（認証済みのファイル読み取り）と連鎖させる攻撃の試みを観測したと記載しています。2024年11月の連鎖でパッチを当てきれていない機器が、別の入口から同じ権限昇格を狙われたことになります。 2026年5月13日に公表されたCVE-2026-0265（Cloud Authentication Serviceを有効にした場合の認証回避）も、管理画面でCASを使う構成で最もリスクが高いとされ、JPCERT/CCが注意喚起を出しました。2026年10月のCVE-2026-0322とPHP2Shellも、狙われたのは同じ管理Webインターフェースです。管理画面のWeb UIはPHPで動いているため、PAN-OS固有の不具合だけでなく、PHPのような部品の脆弱性も管理画面の入口になります。管理画面を外部に出している限り、個別のCVEへの対応は後追いになります。 ### GlobalProtectとUser-ID認証ポータルの悪用例 インターネット側に公開せざるを得ない機能も狙われています。2024年4月のCVE-2024-3400はGlobalProtectの任意ファイル作成からOSコマンドの実行に至る脆弱性で、CVSS v4.0は10.0でした。2026年5月のCVE-2026-0300は、User-ID認証ポータル（キャプティブポータル）に細工したパケットを送るだけで、未認証の攻撃者がroot権限でコードを実行できます。影響対象は、User-ID認証ポータルを有効にし、かつ、信頼できないネットワークから通信が入るL3インターフェースに応答ページを有効にした管理プロファイルを設定したPA-Series・VM-Seriesです。 CVE-2026-0257は、GlobalProtectで認証オーバーライド用のCookieを有効にし、特定の証明書構成を取っている場合に不正なVPN接続を確立できる脆弱性です。回避策として、Cookie専用の証明書を新しく作る（ポータルやゲートウェイの証明書を使い回さない）か、認証オーバーライドを無効にする方法が示されています。他社のVPN機器も含めて版を確かめ、KEVと照合する手順は[VPN機器の版確認とKEV照合の手順](/tech/details/18740/)で扱っています。 ## 自社のPAN-OSの影響を稼働版と管理画面の公開範囲から確かめる手順 確認するのは、動いている版と、管理Webインターフェースにどこから届くかの2点です。 ### show system infoで稼働中の版を確認するコマンド CLIにログインし、次のコマンドでソフトウェアの版を表示します。Webの管理画面ならDashboardのGeneral Information欄でも確認できます。 ``` admin@PA-VM> show system info | match sw-version sw-version: 11.1.6-h32 ``` 表示された版を、アドバイザリの修正版一覧と照合します。同じ保守リリースでは-h（ホットフィックス）の番号を含めて修正版以上かを確認する必要があります。たとえば11.1.6-h32はCVE-2024-0012とCVE-2026-0300には対応済みですが、CVE-2026-0310の修正版（11.1.6-h38）、CVE-2026-0322の修正版（11.1.6-h39）、PHP2Shellの修正版（11.1.6-h40）には届いていません。この例なら11.1.6-h40か11.1.16-h4へ上げれば3件をまとめて解消できます。HAを組んでいる場合は、両方の機器で同じ確認をしてください。 ### 管理画面の公開範囲を確かめる3か所と接続元IPを制限する設定例 - Device > Setup > Interfaces > Management：管理ポートのPermitted IP Addressesが空欄だと、到達できるすべてのIPから接続を受け付けます。 - Network > Network Profiles > Interface Mgmt：HTTPSやHTTPを許可した管理プロファイルが、Untrustなどインターネット側のゾーンのインターフェースに付いていないかを見ます。PHP2Shellもこのプロファイルを付けたインターフェース経由で影響を受けます。 - カスタマーサポートポータルのAssets：Palo Alto Networksが自社のスキャンで管理画面の公開を検出した機器は、Remediation Requiredの一覧にPAN-SA-2024-0015のタグ付きで表示されます。一覧は直近3日間のスキャン結果です。 次のCLI例は、専用管理ポートの許可リストに運用ネットワークの例である10.0.10.0/24を追加します。既存の許可エントリーは残るため、不要な範囲は別途削除してください。データプレーン側の管理アクセスは、この設定ではなく各Interface ManagementプロファイルのPermitted IP Addressesで制限します。 ``` admin@PA-VM> configure admin@PA-VM# set deviceconfig system permitted-ip 10.0.10.0/24 admin@PA-VM# commit ``` 接続元を絞る前に、自分の作業端末のIPが範囲に入っているかを確かめてください。範囲外から操作していると、コミットの直後に管理画面へ入れなくなります。XML APIを使う監視ツールや構成管理ツールがある場合は、その接続元も許可リストに入れておきます。 ## 修正版を当てられないときの緩和策とThreat IDの前提条件 最も効くのは、管理Webインターフェースへのアクセスを信頼できる内部IPだけに絞ることです。アドバイザリも推奨する緩和策としてまずこれを挙げています。 Threat Preventionのサブスクリプションがあれば、Threat ID 95746・95747・95752・95753・95759・95763（コンテンツバージョン8915-9075以降）でCVE-2024-0012の攻撃を遮断できます。ただし、効かせるには次の条件をすべて満たす必要があります。 - 6つのThreat IDをすべてblockに設定する - 管理ポート（MGT）宛ての通信を、データプレーンのポート経由に切り替える（DP側のインターフェースに管理プロファイルを設定する） - 管理通信用の証明書を差し替え、管理インターフェース宛ての通信を復号して検査する - 管理サービス宛ての受信通信で脅威防御を有効にする つまり、専用のMGTポートで管理している一般的な構成では、シグネチャを更新しただけではCVE-2024-0012を防げません。条件をそろえる手間を考えると、パッチまでのつなぎとしてはIP制限を優先するのが現実的です。CVE-2025-0108ではThreat ID 510000・510001（コンテンツ8943）、CVE-2026-0300では510019（PAN-OS 11.1以降が必要）が用意されました。 2026年10月の2件にも同じ前提条件が付いています。CVE-2026-0322はThreat ID 510046・510047（コンテンツ9159-10287以降）で、アドバイザリ自身が「限定的な防御」と書いています。PHP2ShellはThreat ID 543004ほか20件余り（コンテンツ9162〜9164以降）で、543004はPAN-OS 12.2.4以降でFrontier Virtual Patching（ATP Plus）を契約している環境には、10月20日（米国太平洋時間）に先行して配信されました。BrotliのThreat ID 97686（コンテンツ9165以降）も部分的な防御にとどまります。いずれもMGTポートの通信をデータプレーン経由にして復号する構成が前提なので、管理画面の接続元の制限を先に済ませてください。 ## 管理画面を公開していた機器で侵害を疑うときに調べる痕跡と設定変更 修正版の適用と、侵害されていないかの調査は別の作業です。管理画面をインターネットに出していた期間がある機器では、パッチ適用の前後に次の項目を確認します。 - Webシェル：Unit 42は、侵害された機器から難読化されたPHPのWebシェルを回収しています。Webシェルの調査はPalo Alto Networksのサポートと連携して進めてください。公式FAQでは、テレメトリーと顧客がアップロードしたテクニカルサポートファイル（TSF）を解析し、攻撃の痕跡を確認すると説明しています。 - アクセス元：最初の攻撃は、匿名VPNサービスの中継に使われるIPアドレスから届いていました。管理画面へのアクセスログを、運用ネットワーク外の接続元で絞り込みます。 - User-Agent：複数の攻撃者の試行で「Mozilla/5.0 (Windows NT 6.3; Trident/7.0; rv 11.0) like Gecko」という文字列が観測されています。 - 設定と管理者アカウント：CVE-2024-0012は設定の改ざんを許すため、心当たりのない管理者の追加や、NAT・セキュリティポリシーの変更がないかを設定の監査ログで確認します。認証済みの攻撃者が前提のCVE-2026-0322に備え、管理者のログイン履歴も同じ期間で見直します。 - XML APIの利用履歴：PHP2ShellはXML APIも入口になるため、管理画面のWeb UIだけでなく、APIキーの発行や見覚えのない接続元からのAPI呼び出しがないかを確認します。 CVE-2024-0012の攻撃元IPやハッシュ値は、[Unit 42の脅威概要（Operation Lunar Peek）](https://unit42.paloaltonetworks.com/cve-2024-0012-cve-2024-9474/)と、GitHubのUnit42-Timely-Threat-Intelで公開されています。PHP2Shellについては、[Unit 42の脅威概要](https://unit42.paloaltonetworks.com/cve-2026-109618-cve-2026-109619/)（10月25日更新）に、PHPのWebサーバー上での不審なコマンド実行を探すハンティング用のクエリが載っています。ファイアウォールのログを[SIEMで長期保管して相関分析](/tech/details/13310/)していれば、管理画面の公開期間までさかのぼった照合が可能です。侵害の痕跡が見つかった場合は、Palo Alto Networksのサポートへ連絡してください。管理画面やVPNの公開範囲そのものを外部から棚卸ししたい場合は、[脆弱性診断・セキュリティ診断](https://www.issoh.co.jp/service/system/vulnerability/)で公開面を確認する方法もあります。 PAN-OSの脆弱性は、マルウェアの侵入経路にも組み込まれています。暗号資産マイニングマルウェアのRedTailはGlobalProtectのCVE-2024-3400を侵入経路の1つにしており、手口は[RedTailの侵入経路と駆除手順](/tech/details/4064/)で解説しています。 ## よくある質問 ### CVE-2024-0012は2026年の今も対策が必要ですか？ PAN-OS 10.2・11.0・11.1・11.2で、修正版より前の版を使い続けている機器は今も影響を受けます。ただし、2026年10月時点ではCVE-2024-0012の修正版まで上げても、その後に公表されたCVE-2026-0300・0310・0322とPHP2Shellが残ります。10月28日時点では、PHP2Shellの修正版（12.2.4-h1・11.2.16-h1・11.1.16-h4・10.2.18-h13など）を目安に各系列の最新の修正版へ上げてください。 ### CVE-2024-0012のPoCは公開されていますか？ 第三者による検証コードは公開済みです。アドバイザリは第三者による検証コードの公開を認めており、Unit 42は2024年11月19日の公開以降に攻撃活動が増えたとしています。PoCが出た脆弱性は攻撃の敷居が下がるため、管理画面が外部から届く機器は優先して対処します。 ### Panoramaも影響を受けますか？ Panoramaも影響を受ける製品です。CVE-2024-0012とCVE-2024-9474に加え、2026年10月のCVE-2026-0322とPHP2Shellも、Panoramaの仮想版とM-Seriesを対象に含めています。Panoramaは多数のファイアウォールを一元管理するため、侵害されると管理下の機器の設定まで書き換えられるおそれがあります。 ### GlobalProtectのVPNだけを外部に公開していれば安全ですか？ CVE-2024-0012とPHP2Shellに限れば、GlobalProtectのポータルとゲートウェイは影響を受けません。ただし、同じインターフェースに管理プロファイルが付いていると管理画面（通常ポート4443）が外から届きます。また、GlobalProtect自体もCVE-2024-3400やCVE-2026-0257で悪用されているため、VPNの公開は別途パッチ管理の対象です。 ### Palo Alto Networksの脆弱性情報はどこで確認できますか？ 一次情報はPalo Alto Networksのセキュリティアドバイザリ（security.paloaltonetworks.com）で、RSSでも配信されています。2026年7月から9月のPAN-OSのアドバイザリはいずれも第2水曜日（米国時間）に公開されましたが、CVE-2026-0300やPHP2Shellのような緊急の公開やGlobalProtectアプリの公開はそれ以外の日にも出ます。PHP2Shellのアドバイザリは公表から1週間で十数回更新され、修正版の予定日もその都度変わりました。悪用の有無はCISAのKEVとJPCERT/CCの注意喚起で補うと確実です。CVEやCVSSといった用語は[脆弱性の種類とCVE・CVSSの仕組み](/tech/details/13546/)で整理しています。 ## 関連記事 - [PHP2Shellとは：CVE-2026-109618・109619の影響範囲と修正版、KEV登録と更新後も残す設定【2026年10月】](/tech/details/18738/) - [Fortinetの脆弱性まとめ｜FortiGateの悪用済みCVE一覧と仮想パッチ・確認手順【2026年10月】](/tech/details/4970/) - [VMwareの脆弱性とセキュリティ対策｜悪用済みCVE一覧とVMSAの確認・パッチ手順【2026年10月】](/tech/details/4973/) - [NetScalerの脆弱性CVE-2026-88771とは？88779で変わった修正版と侵害調査の手順](/tech/details/17983/) - [exploitとは？脆弱性を悪用する攻撃コードの仕組み・種類・防御を実装者向けに解説](/tech/details/15280/) - [SASEとは？構成要素とゼロトラスト・SSEとの違い、導入判断を解説](/tech/details/13271/) --- 出典: [PAN-OSの脆弱性CVE-2024-0012とは？修正版と悪用済みCVE一覧・確認手順【2026年10月】]()（株式会社一創）