PAN-OSのRCE脆弱性、ゼロデイ攻撃で悪用される：CVE-2026-0322

佐々山 Tacos

2026.10.15

[開く][閉じる]

PAN-OSのRCE脆弱性、ゼロデイ攻撃で悪用される：CVE-2026-0322
AIで発見されたLinuxカーネルのLPE脆弱性「Vghost」の技術的詳細をTencent Zhuque Labが報告：CVE-2026-74580

PAN-OSのRCE脆弱性、ゼロデイ攻撃で悪用される：CVE-2026-0322

BleepingComputer – October 14, 2026

パロアルトネットワークスが、ゼロデイ攻撃での悪用が確認されたPAN-OSのRCE脆弱性CVE-2026-0322に関するセキュリティアップデートをリリース。米CISAも10月14日に同脆弱性をKEVカタログ（悪用が確認済みの脆弱性カタログ）に追加し、10月17日までの対応を米連邦政府機関に命じている。

CVE-2026-0322はPAN-OSの管理インターフェースにおけるコードインジェクションの脆弱性で、CVSSスコアは8.6。悪用するためには既存の認証情報を保有し、PAN-OSの管理インターフェースにネットワークを通じてアクセスできている必要があるものの、悪用が成功した場合、攻撃者はroot権限でコードを実行される恐れがあるとされる。PAシリーズおよびVMシリーズのファイアウォールのほか、PanoramaのMシリーズおよび仮想版アプライアンスが影響を受ける。

パロアルトネットワークスは同脆弱性のアドバイザリにおいて、「非常に限定的な悪用」が観測されていることを公表。同脆弱性を狙った脅威活動および限定的な悪用試行に関連するIPアドレスとして、以下3件を共有した。

66[.]42[.]72[.]14
208[.]83[.]239[.]114
149[.]248[.]47[.]234

影響を受けるPAN-OS 10.2、11.1、11.2、12.1、12.2についてはすでに修正版がリリース済みで、PAN-OS 11.2.16の修正版は10月15日にリリース予定。ネットワークアクセスが悪用の要件となっていることから、管理インターフェースへのアクセスを信頼できる内部IPアドレスからのみに制限することで同脆弱性により生じるリスクを最小化できるとのこと。

AIで発見されたLinuxカーネルのLPE脆弱性「Vghost」の技術的詳細をTencent Zhuque Labが報告：CVE-2026-74580

The Hacker News – Oct 14, 2026

Linuxのvhostサブシステムにおける脆弱性「Vghost（CVE-2026-74580）」の技術的詳細について、Tencent Zhuque Labが報告。ローカルの攻撃者がこの悪用を成功させた場合、カーネルメモリへの自由な読み書きとrootアクセスの取得が可能になるほか、特定の仮想化設定では、信頼されていない仮想マシンによるホストメモリへの書き込みや、当該仮想マシンを運用するプログラムの乗っ取りが可能になる恐れがあるという。

CVE-2026-74580はメモリ破損の脆弱性で、CVSSスコアは8.8。vhostにはvringのメモリマッピングをキャッシュする機構が存在し、マッピングが更新または無効化された場合や、キューがリセットされた場合にキャッシュを削除する仕組みになっている。しかし、キューがまだ有効な状態でVHOST_SET_VRING_ADDRやVHOST_SET_VRING_NUMなどのコマンドによりvringのアドレスやサイズが変更された際には、キャッシュが適切に無効化されないという不具合が存在していた。これにより、古い無効なマッピングが再利用され、メモリ領域外への不正な読み書きが発生する恐れがあったという。

Tencent Zhuque Labによると、Tencentがカーネルの脆弱性調査用に構築したマルチエージェントシステム「Corvus AI」によって、2時間ほどで発見されたという。同社は、以下2通りの悪用方法があると説明し、それぞれについてデモ動画も提供している。

ホストにおけるローカル特権昇格：特権を持たないユーザーがこの脆弱性を悪用することで、任意のカーネルアドレスの読み取りまたは書き込み、KASLRのバイパス、およびrootへの権限昇格が可能になるというもの。
仮想マシンのエスケープ：仮想マシンのvirtioデバイスが、iommu_platformが有効化された仮想的なIOMMUの背後に配置されており、かつvhostがdevice-IOTLBモードで実行されている場合、信頼されていないゲストはこの脆弱性を悪用することでホストカーネルにQEMUプロセスへの境界外書き込みを行わせることができる。そこから、QEMUの関数ポインタを上書きしてホストプロセスの次の実行先を制御したり、プロセスをクラッシュさせたりすることが可能となる。

CVE-2026-74580は2017年の変更（Linux 4.11）および2020年の変更（Linux 5.9）により生じた脆弱性とされ、4.11〜7.2-rc4のLinuxカーネルが影響を受ける。すでにリリース済みの修正コミット（de845981da67）では、vringの再設定が行われた際に必ずキャッシュが無効化されるようになっている。

影響を受けるディストリビューションにはUbuntu、Red Hat Enterprise Linux、Amazon Linux、Azure Linux、Oracle Linuxなどがあり、Red Hat、Amazon Linux、Oracle Linuxはすでに修正をリリース済み。Ubuntuは22.04、26.04で修正を進めているとのこと。