Kritische Sicherheitslücke in PAN-OS bereits unter Beschuss
Palo Alto Networks hat eine kritische Sicherheitslücke in seinem Betriebssystem PAN-OS gemeldet, die bereits aktiv im Internet angegriffen wird. Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, beliebigen Code mit root-Rechten auf betroffenen Firewall-Systemen auszuführen. Besonders brisant: Updates werden erst in einer bis mehreren Wochen verfügbar sein.
Die technischen Details der Schwachstelle
Bei der Sicherheitslücke handelt es sich um einen Pufferüberlauf im User-ID-Authentifizierungsportal, auch als Captive-Portal bekannt. Die unter der Kennung CVE-2026-0300 geführte Schwachstelle erhielt den CVSS4-Wert 9.3 und damit die Risikoeinstufung "kritisch".
Angreifer können die Lücke ausnutzen, indem sie sorgsam präparierte Pakete an betroffene Firewalls der PA- und VM-Reihen senden. Dadurch erhalten sie die Möglichkeit, beliebigen Code mit root-Rechten zu schieben und auszuführen.
Betroffene Systeme und Versionen
Die Schwachstelle betrifft folgende PAN-OS-Versionen:
- PAN-OS 12.1
- PAN-OS 11.2
- PAN-OS 11.1
- PAN-OS 10.2
Ausdrücklich nicht betroffen sind laut Palo Alto Networks die Cloud NGFW, Prisma Access und Panorama-Appliances.
Sofortige Schutzmaßnahmen erforderlich
Da die Schwachstelle bereits aktiv ausgenutzt wird, sind IT-Verantwortliche zu sofortigen Gegenmaßnahmen aufgerufen. Palo Alto Networks empfiehlt zwei temporäre Lösungsansätze:
Deaktivierung des Captive-Portals
Die effektivste Sofortmaßnahme ist die komplette Deaktivierung des User-ID-Authentifizierungsportals. Da dieses standardmäßig nicht konfiguriert ist, sind nur Systeme betroffen, bei denen das Portal explizit aktiviert wurde.
Einschränkung der Zugriffsberechtigung
Falls eine Deaktivierung des Portals nicht möglich ist, sollte der Zugriff auf vertrauenswürdige Zonen beschränkt werden. Diese Maßnahme reduziert den CVSS4-Wert von 9.3 auf 8.7 und senkt damit das Risiko von "kritisch" auf "hoch".
Beobachtete Angriffe und Konfigurationsfehler
Palo Alto Networks bestätigt, dass bereits begrenzter Missbrauch der Schwachstelle beobachtet wurde. Auf den betroffenen Geräten war der Zugriff von nicht vertrauenswürdigen IP-Adressen und teilweise sogar aus dem offenen Internet möglich.
Der Hersteller betont, dass solche Konfigurationen im Widerspruch zu den Security-Best-Practices stehen. Dies unterstreicht die Bedeutung einer sicherheitsorientierten Grundkonfiguration von Firewall-Systemen.
Timeline der geplanten Updates
Die Verfügbarkeit der Sicherheits-Updates ist gestaffelt geplant:
13. Mai verfügbar:
- 12.1.4-h5
- 11.2.7-h13
- 11.2.10-h6
- 11.1.4-h33
- 11.1.6-h32
- 11.1.10-h25
- 11.1.13-h5
- 10.2.10-h36
- 10.2.18-h6
28. Mai verfügbar:
- 12.1.7
- 11.2.4-h17
- 11.2.12
- 11.1.7-h6
- 11.1.15
- 10.2.7-h34
- 10.2.13-h21
- 10.2.16-h7
Einordnung in den Sicherheitskontext
Diese Schwachstelle reiht sich in eine Serie von Sicherheitsproblemen bei Palo Alto Networks ein. Bereits im Januar wurden Schwachstellen in den Firewalls bekannt, durch die Angreifer die Appliances in den Wartungsmodus zwingen und dadurch den Firewall-Schutz aushebeln konnten.
Für Unternehmen mit kritischen Infrastrukturen ist die Kombination aus aktiven Angriffen und dem Verzug bei den Updates besonders problematisch. Die Tatsache, dass die Schwachstelle bereits ausgenutzt wird, erhöht den Handlungsdruck erheblich.
Empfehlungen für IT-Verantwortliche
IT-Administratoren sollten umgehend folgende Maßnahmen ergreifen:
- Sofortige Überprüfung aller PAN-OS-Installationen auf aktive Captive-Portal-Konfigurationen
- Deaktivierung des User-ID-Authentifizierungsportals, wo immer möglich
- Einschränkung der Zugriffsberechtigung auf vertrauenswürdige IP-Bereiche als Alternative
- Verstärkte Überwachung der betroffenen Systeme auf verdächtige Aktivitäten
- Planung der Update-Installation entsprechend der Verfügbarkeitstermine
Ausblick und langfristige Sicherheitsstrategie
Der Fall verdeutlicht die Bedeutung einer mehrschichtigen Sicherheitsstrategie. Neben der zeitnahen Installation von Sicherheits-Updates sind präventive Konfigurationsmaßnahmen und kontinuierliche Überwachung unverzichtbar.
Unternehmen sollten ihre Firewall-Konfigurationen regelmäßig auf Compliance mit Security-Best-Practices überprüfen. Die Beschränkung von Verwaltungszugriffen auf vertrauenswürdige Netzwerkbereiche kann das Risiko auch bei zukünftigen Schwachstellen erheblich reduzieren.
Die gestaffelte Veröffentlichung der Updates über mehrere Wochen macht deutlich, dass temporäre Schutzmaßnahmen ein wesentlicher Baustein des Sicherheitsmanagements bleiben müssen.
