Risiken für Cisco- und Palo-Alto-Systeme : Angreifer können Firewalls mit Root-Rechten übernehmen : Updates schließen eine bereits ausgenutzte Schwachstelle in der Verwaltungsschnittstelle
Eine Firewall soll Angriffe ja eigentlich stoppen – bereits ausgenutzte Lücken in Palo Altos PAN-OS und Ciscos Secure Email Gateway können jedoch diese Schutzsysteme selbst zum Angriffsziel machen.
Palo Alto Networks hat Mitte Oktober 2026 Sicherheitsupdates gegen CVE-2026-0322 veröffentlicht. Betroffen sind das Firewall-Betriebssystem PAN-OS auf Geräten der PA-Series und virtuellen Firewalls der VM-Series, sowie die zentrale Verwaltungsplattform Panorama als virtuelle Installation und auf der M-Series. Die Dienste Cloud NGFW und Prisma Access sind von dieser Schwachstelle nicht betroffen.
Was Angreifer für die PAN-OS-Übernahme benötigen
Die jetzige Schwachstelle ermöglicht die Ausführung von Code aus der Ferne (Remote-Code-Execution, RCE). Der Angriff erfolgt über die Verwaltungsschnittstelle: Dafür muss ein Angreifer diese über das Netzwerk erreichen und bereits authentifiziert sein. Das Common Vulnerability Scoring System (CVSS) weist ausdrücklich hohe erforderliche Berechtigungen aus. Die Bewertung beträgt nach CVSS 4.0 8,6 von zehn Punkten, entsprechend der Schweregradstufe „hoch“.
Technisch handelt es sich um eine Code-Injection-Schwachstelle: Eingaben werden nicht ausreichend von ausführbarem Code getrennt. Der Schwachstelleneintrag CVE-2026-0322 ordnet sie der Fehlerklasse CWE-94 zu. Eine Interaktion mit einem weiteren Benutzer ist für die Ausnutzung nicht erforderlich. Die rerreichbaren Root-Rechte gehen über gewöhnliche Verwaltungsfunktionen hinaus und ermöglichen weitreichende Eingriffe auf Betriebssystemebene. Daraus ergibt sich das Risiko, dass ein Angreifer nicht nur Einstellungen verändert, sondern auch die Integrität des Schutzsystems selbst beeinträchtigt.
Bereits beobachtete Angriffe erhöhen die Dringlichkeit
Palo Alto Networks berichtet von einer „sehr begrenzten Ausnutzung“ – Angaben zu Tätern, betroffenen Organisationen oder dem Beginn der Aktivitäten macht das Unternehmen nicht. Entdeckt und gemeldet wurde die Lücke intern von Suraj Siddharudh. Als mit Angriffsaktivitäten verbundene IP-Adressen nennt der Hersteller: 66.42.72[.]14, 208.83.239[.]114 und 149.248.47[.]234.
Die genannten IP-Adressen können helfen, verdächtige Verbindungen zu erkennen. Taucht eine davon in den Protokollen auf, beweist das allein aber noch keinen erfolgreichen Angriff. Dafür ist zu prüfen, wann die Verbindung bestand und was dabei auf dem System geschah. Auf der anderen Seite: Findet man keine Einträge zu diesen Adressen, ist das noch keine Entwarnung – Angreifer können auch andere IP-Adressen genutzt haben.
Welche PAN-OS-Versionen die Schwachstelle schließen
Die Sicherheitsmeldung von Palo Alto Networks nennt folgende korrigierte Versionsstände beziehungsweise neuere, entsprechend korrigierte Versionen im jeweiligen Zweig:
- PAN-OS 12.2: 12.2.4
- PAN-OS 12.1: 12.1.4-h12, 12.1.7-h8, 12.1.10-h2
- PAN-OS 11.2: 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3, 11.2.16, 11.2.16
- PAN-OS 11.1: 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15, 11.1.16-h3
- PAN-OS 10.2: 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11, 10.2.18-h12
Hierbei ist auch der Zusatz hinter der Versionsnummer wichtig: Erst 12.1.4-h12 enthält die benötigte Fehlerbehebung – die „Grundversion“ 12.1.4 reicht nicht aus. Betreiber müssen deshalb die vollständige Versionsnummer prüfen und das passende Update für ihre installierte Version auswählen. Dabei sind die Aktualisierungshinweise des Herstellers zu beachten.
Firewall-Verwaltungszugänge konsequent abschirmen
Für die Betroffenheit der aktuellen Schwachstelle ist keine besondere Konfiguration erforderlich. Die Erreichbarkeit der Verwaltungsschnittstelle bestimmt jedoch mit, wer überhaupt einen Angriffsversuch unternehmen kann. Palo Alto Networks empfiehlt: „Sie können das Risiko einer Ausnutzung verringern, indem Sie den Zugriff auf eine Jump-Box beschränken.“ Gemeint ist damit ein vorgeschalteter Administrationsrechner, der als einziges System auf die Verwaltungsschnittstelle zugreifen darf.
Die Empfehlungen zur Absicherung des Verwaltungszugangs zielen auf eine möglichst kleine, kontrollierbare Angriffsfläche. Ein abgeschottetes Verwaltungsnetz und eng begrenzte Zugriffsregeln verhindern, dass beliebige Rechner die Administrationsdienste direkt ansprechen können. Für den Betrieb folgt daraus: Auch der vorgeschaltete Administrationsrechner muss besonders geschützt werden. Wird er kompromittiert, kann er zum Ausgangspunkt weiterer Angriffe werden. Eine solche Zugangsbeschränkung ergänzt deshalb das Update; sie beseitigt nicht den Softwarefehler!
Parallel bestehende Cisco-Lücke wird ebenfalls aktiv ausgenutzt
Auch Cisco meldet Angriffe auf ein Sicherheitsprodukt – CVE-2026-76519 betrifft das Cisco Secure Email Gateway und erhält nach CVSS 3.1 eine Bewertung von 9,8 Punkten. Hier benötigt der Angreifer keine vorausgehende erfolgreiche Anmeldung.
Die Schwachstelle betrifft die Funktion „Advanced Malware Protection“ (AMP), die Schadsoftware erkennen soll. Ist der Dienst zur Bewertung der Vertrauenswürdigkeit von Dateien eingeschaltet, kann ein Angreifer einen speziell präparierten E-Mail-Anhang einschleusen. Durch einen Fehler bei dessen Verarbeitung lassen sich beliebige Dateien auf dem Gerät ablegen und Befehle mit höchsten Systemrechten ausführen. Cisco stellt Sicherheitsupdates bereit – eine alternative Maßnahme, die die Schwachstelle ohne Update behebt, ist nicht bekannt. Weitere Informationen bietet die Sicherheitsmeldung des Herstellers zu CVE-2026-76519.
Nach dem Update: Auf frühere Zugriffe prüfen!
Die US-Behörde Cybersecurity and Infrastructure Security Agency (CISA) führt beide Schwachstellen im Katalog bekanntermaßen ausgenutzter Sicherheitslücken (Known Exploited Vulnerabilities, KEV). Für die erfassten zivilen US-Bundesbehörden ist der 17. Oktober 2026 als Behebungsfrist angegeben. Für andere Betreiber ist die Aufnahme vor allem ein Signal, die tatsächliche Ausnutzung bei der Priorisierung zu berücksichtigen.
Aus betrieblicher Sicht sollten Aktualisierung und Untersuchung möglicher Vorfälle zusammengehören: Sinnvoll ist es, Verwaltungsanmeldungen und Konfigurationsänderungen auf Auffälligkeiten zu prüfen und vorhandene Protokolle für eine Untersuchung zu sichern. Ein installiertes Update schließt zwar eine bestehende Schwachstelle, belegt aber nicht, dass das Gerät zuvor unangetastet geblieben war!