Remote Code Execution Angreifer können Firewalls von Palo Alto Networks kapern

Anbieter zum Thema

cidaas by Widas ID GmbH

SEPPmail - Deutschland GmbH

Palo Alto Networks meldet Angriffe auf eine Schwachstelle in PAN-OS. Angreifer mit Zugriff auf die Verwaltungsoberfläche können Code mit Root-Rechten auf der Firewall ausführen. Betroffen sind mehrere Versionen der Reihen 10.2 bis 12.2.

Palo Alto Networks (PAN) hat am 14. Oktober 2026 das Advisory zu einer Schwachstelle in seinem Betriebssystem PAN-OS veröffentlicht. PAN-OS läuft auf den Firewalls der PA-Serie und VM-Serie sowie auf Panorama, der zentralen Verwaltung der Firewalls (virtuell und als M-Serie). EUVD-2026-101495 / CVE-2026-0322 (CVSS-Score 8.6, EPSS-Score^* noch nicht verfügbar) ermöglicht es einem angemeldeten Angreifer mit Netzwerkzugriff, über die Verwaltungs­ober­fläche beliebigen Code mit Root-Rechten auf der Firewall auszuführen. Der Hersteller stuft die Dringlichkeit mit „Highest“ ein und berichtet von einer „sehr begrenzten“ Ausnutzung gegen die Verwaltungsoberfläche. Die CISA hat die Schwachstelle am 14. Oktober in ihren KEV-Katalog aufgenommen.

EUVD-2026-101420 / CVE-2026-76519

Schwachstelle im Malware-Schutz von Cisco wird ausgenutzt

So gelangen Angreifer an Root-Rechte

Die Schwachstelle steckt laut PAN in der Verwaltungsoberfläche (Management Interface) von PAN-OS. Der Hersteller ordnet sie als Code Injection ein. Dabei schleust ein Angreifer Code ein, den das System anschließend ausführt. Wer angemeldet ist und die Verwaltungsoberfläche über das Netzwerk erreicht, kann beliebigen Code mit Root-Rechten auf der Firewall ausführen. Eine besondere Konfiguration ist dafür laut Hersteller nicht nötig. Laut CVSS-Vektor braucht der Angreifer hohe Rechte, der Angriff ist aber wenig komplex braucht und keine Nutzerinteraktion.

Ob Angreifer die Schwachstelle ausnutzen können, hängt laut Palo Alto Networks vom Zugang zur Verwaltungsoberfläche ab. Das Risiko eines Angriffs ist am höchsten, wenn der Zugriff aus dem Internet erlaubt ist. Es sinkt, wenn nur vertrauenswürdige interne IP-Adressen zugreifen dürfen, wie es die empfohlenen Best Practices des Herstellers vorsehen. Außerdem lässt sich das Risiko einer Ausnutzung laut Hersteller verringern, indem nur ein einzelner Jump Host auf die Verwaltungsoberfläche zugreifen darf. Das ist ein Zwischenrechner, über den Ad­mi­nis­t­ra­to­ren sich mit der Verwaltung verbinden. Für diese Konstellation nennt der Hersteller einen CVSS-Score von 8.5 statt 8.6.

Gefälschte Cookies umgehen GlobalProtect-Login

PAN-OS-Bypass gewährt VPN-Zugang ohne Zugangsdaten

Betroffene Versionen und Patches

Betroffen sind dem Advisory zufolge PAN-OS auf PA-Serie, VM-Serie und Panorama in diesen Versionen:

• PAN-OS 12.2: vor 12.2.4

• PAN-OS 12.1: vor 12.1.4-h12, vor 12.1.7-h8 und vor 12.1.10-h2

• PAN-OS 11.2: vor 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 und vor 11.2.16

• PAN-OS 11.1: vor 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 und vor 11.1.16-h3

• PAN-OS 10.2: vor 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 und vor 10.2.18-h12

Nicht betroffen sind Cloud NGFW und Prisma Access. Ältere, nicht mehr unterstützte PAN-OS-Versionen sollen laut Hersteller auf eine unterstützte, korrigierte Version aktualisiert werden.

Die Patches sind:

• PAN-OS 12.2: Upgrade auf 12.2.4 oder höher

• PAN-OS 12.1: Upgrade auf 12.1.4-h12, 12.1.7-h8 oder 12.1.10-h2 oder höher, je nach installierter Version

• PAN-OS 11.2: Upgrade auf 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 oder 11.2.16 oder höher, je nach installierter Version

• PAN-OS 11.1: Upgrade auf 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 oder 11.1.16-h3 oder höher, je nach installierter Version

• PAN-OS 10.2: Upgrade auf 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 oder 10.2.18-h12 oder höher, je nach installierter Version

Mark of the Web umgangen

Angreifer nutzen Zero Day in der Windows Shell aus

Updates und Empfehlungen

Palo Alto Networks nennt keinen Workaround für EUVD-2026-101495 / CVE-2026-0322. Der Hersteller empfiehlt, so schnell wie möglich zu aktualisieren. Bis zum Update sollten Unternehmen den Zugriff auf die Verwaltungsoberfläche auf vertrauenswürdige interne IP-Adressen beschränken.

Kunden mit einer Threat-Prevention-Subscription erhalten begrenzten Schutz, wenn sie die Threat IDs 510046 und 510047 aktivieren. Sie sind ab der Content-Version 9159-10287 der Applications-and-Threats-Updates verfügbar. Damit sie wirken, sind vier Schritte nötig:

• Eingehenden Verkehr des Management-Ports über einen Datenport (DP-Port) leiten, zum Beispiel über ein Management-Profil auf einer DP-Schnittstelle.

• Das Zertifikat für eingehenden Management-Verkehr ersetzen.

• Den eingehenden Verkehr zur Verwaltungsoberfläche entschlüsseln, damit die Firewall ihn prüfen kann.

• Threat Prevention für den eingehenden Verkehr zu den Management-Diensten aktivieren.

Der Schutz setzt SSL-Entschlüsselung voraus. Er ist laut Hersteller begrenzt, weil Varianten von Angriffen unter Umständen nicht erkannt werden. PAN empfiehlt deshalb das Upgrade auf eine nicht betroffene Version.

Der Hersteller nennt drei IP-Adressen als Indicators of Compromise, die mit Bedrohungs­aktivität und begrenzten Exploit-Versuchen gegen die Schwachstelle in Verbindung stehen:

• 66[.]42[.]72[.]14

• 208[.]83[.]239[.]114

• 149[.]248[.]47[.]234

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Erweiterung von Project Lightwell

Red Hat, IBM und Palo Alto stärken Schwachstellenschutz

(ID:50988560)