PAN-OS狙う攻撃で米政府含む25台が侵害
原題: Chained PHP2Shell exploit roots 25 servers, including US Government servers
なぜ重要か
国家レベルの攻撃者がAIを開発補助に活用しながら主要ファイアウォールのゼロデイをついた事例として、防衛側の脅威モデル更新を迫る。
2026年10月25日、セキュリティ企業Dreamの研究チームは、Palo Alto NetworksのPAN-OSファイアウォール25台が侵害された攻撃を発見した。攻撃者はCVE-2026-109618/109619（PHP2Shell）とカーネル権限昇格脆弱性CVE-2026-46300（Fragnesia）を組み合わせ、認証なしでroot権限を取得。被害には米政府関連環境のサーバー3台が含まれ、Active Directoryへの侵入も確認された。Palo Alto NetworksのUnit 42が攻撃ツールを独立検証し、修正版PAN-OSを提供中。
Dream研究チームが自社の自律型脅威ハンティング製品「Hero」を使って発見したのは、完結した攻撃オペレーション全体の痕跡だった。回収されたアーティファクトには、PHP2Shell exploitチェーン（CVE-2026-109618/CVE-2026-109619）とカーネル権限昇格exploit「Fragnesia」（CVE-2026-46300）を組み合わせた非公開のカスタムexploit、ターゲットリスト、侵害ログ、約40本のカスタムpost-exploitationスクリプトが含まれていた。
攻撃の流れはシンプルかつ凶悪だ。PAN-OSの管理用Webサーバー（GlobalProtectポータルと共有）に単一のHTTPリクエストを送るだけで、認証不要でroot権限を奪取できる。その後、攻撃者は米国・日本・台湾・韓国にまたがる25台のPAN-OSファイアウォールおよび管理サーバーを侵害し、うち3台は米政府関連組織のものだった。侵害後は内部Active Directoryへ攻撃を展開し、認証情報の抽出とディレクトリ列挙が確認されている。
注目すべきはAIツールの痕跡だ。攻撃インフラにはClaude Codeがインストールされており、中国系LLMのDeepSeekを組み込んだAI攻撃プラットフォーム「aiscan」、さらに中国の攻撃面調査サービスFOFAのAPIキーも存在した。約40本のスクリプトにわたるコード構造やコメントのスタイルが一貫していることから、Dream研究チームはAI支援による開発を疑っている。ただし「完全自律型の国家攻撃とは言えない」とも明記しており、AIは開発補助として使われた可能性が高いと見ている。
Palo Alto NetworksのUnit 42は攻撃ツールと結果を独立して検証済みで、影響を受けるPAN-OSブランチ向けに修正版の提供を開始している。なお、Dreamは発見後、Palo Alto Networksと連携して継続的に情報を共有しており、詳細はPalo Alto Networks公式サイトでも公開されている。