PAN-OS: Angreifer nutzen Lücke CVE-2026-0322 in Firewall-Verwaltung aus

Palo Alto Networks hat am 14. Oktober 2026 die Schwachstelle CVE-2026-0322 in PAN-OS veröffentlicht und bestätigt bereits Angriffe darauf. Die Lücke steckt in der Management-Oberfläche der Firewalls und erlaubt angemeldeten Angreifern mit Netzwerkzugang, beliebigen Code mit Root-Rechten auszuführen. Betroffen sind PA-Series- und VM-Series-Firewalls sowie Panorama als virtuelle Appliance und auf M-Series-Hardware. Cloud NGFW und Prisma Access sind laut Hersteller nicht betroffen.

Admins mit PAN-OS-Geräten sollten heute prüfen, von wo aus die Management-Oberfläche erreichbar ist, und das Update in ein kurzfristiges Wartungsfenster legen. Besonders dringend ist es dort, wo die Verwaltung aus dem Internet oder aus breiten internen Netzen erreichbar ist. Die US-Behörde CISA hat die Lücke noch am selben Tag in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Diese Meldung betrifft eine andere Schwachstelle als die im Juni ausgenutzte GlobalProtect-Lücke CVE-2026-0257.

Was ist passiert?

Das Advisory zu CVE-2026-0322 trägt den Titel „PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface“ und wurde am 14. Oktober 2026 um 16:00 Uhr UTC erstmals veröffentlicht. Palo Alto stuft die Schwachstelle als Code Injection nach CWE-94 ein. Der Hersteller schreibt, er habe eine „sehr begrenzte Ausnutzung“ gegen die Management-Oberfläche beobachtet. Gefunden hat die Lücke ein interner Sicherheitsforscher des Unternehmens.

Laut BleepingComputer hat Palo Alto drei IP-Adressen genannt, von denen Angriffe ausgingen: 66.42.72[.]14, 208.83.239[.]114 und 149.248.47[.]234. Wann die Angriffe begannen, wer dahintersteckt und ob Angreifer über kompromittierte Firewalls in interne Netze gelangt sind, ist bislang nicht öffentlich bekannt. CISA verlangt von US-Bundesbehörden die Behebung bis zum 17. Oktober 2026.

Wer ist betroffen?

Laut Advisory ist keine besondere Konfiguration nötig, um verwundbar zu sein. Betroffen sind alle unterstützten Zweige, die Korrekturen sind nach Unterversion gestaffelt:

• PAN-OS 12.2: Version 12.2.0 bis 12.2.3, behoben ab 12.2.4.
• PAN-OS 12.1: behoben in 12.1.4-h12, 12.1.7-h8 und 12.1.10-h2.
• PAN-OS 11.2: behoben in 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 und 11.2.16. Die Version 11.2.16 hatte Palo Alto zur Veröffentlichung für den 15. Oktober angekündigt.
• PAN-OS 11.1: behoben in 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 und 11.1.16-h3.
• PAN-OS 10.2: behoben in 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 und 10.2.18-h12.
• Ältere, nicht mehr unterstützte PAN-OS-Versionen erhalten keinen Fix und müssen auf eine unterstützte, korrigierte Version gebracht werden.

Nicht betroffen sind Cloud NGFW und Prisma Access. Wer ausschließlich diese Dienste nutzt, muss nichts tun.

Wie kritisch ist das?

Palo Alto bewertet die Lücke mit CVSS 4.0 und 8,6 Punkten (hoch), wenn die Management-Oberfläche aus dem Internet erreichbar ist. Ist der Zugriff auf einen Jump-Host beschränkt, sinkt der Wert auf 8,5, weil Angreifer dann aus dem angrenzenden Netz kommen müssen. Der Score ist bewusst nicht kritisch, denn ein Angreifer braucht gültige Zugangsdaten mit hohen Rechten. Es handelt sich also um eine authentifizierte Remote Code Execution, nicht um eine Lücke, die anonym aus dem Internet ausnutzbar ist.

Operativ ist die Lage trotzdem ernst. Wer bereits über abgegriffene Admin-Passwörter oder eine kompromittierte Admin-Station verfügt, erhält über die Lücke Root auf der Firewall und kann sich dort dauerhaft einnisten. Einen Workaround gibt es laut Hersteller nicht. Kunden mit Threat-Prevention-Abo können die Threat IDs 510046 und 510047 aktivieren (ab Inhaltsversion 9159-10287). Dieser Schutz greift aber nur, wenn der Management-Verkehr über ein Datenport-Interface läuft und per SSL-Entschlüsselung geprüft wird. Palo Alto nennt die Abdeckung selbst ausdrücklich begrenzt.

Was sollten Admins jetzt tun?

• Alle PA-Series-, VM-Series- und Panorama-Instanzen inventarisieren und die exakte PAN-OS-Version samt Hotfix-Stand mit der Tabelle im Advisory abgleichen.
• Prüfen, von welchen Netzen die Management-Oberfläche erreichbar ist. Zugriff aus dem Internet sofort sperren und auf vertrauenswürdige interne Adressen oder einen dedizierten Jump-Host begrenzen.
• Das passende Hotfix-Release einspielen, bei Hochverfügbarkeitspaaren nacheinander und mit vorheriger Konfigurationssicherung.
• Management-Logs und Systemprotokolle auf Anmeldungen und Verbindungen der drei genannten IP-Adressen durchsuchen.
• Admin-Konten auf unbekannte Einträge prüfen und Passwörter für Administratoren rotieren, wenn ein Verdacht auf abgeflossene Zugangsdaten besteht.
• Mehrfaktor-Authentifizierung für den Verwaltungszugang erzwingen, soweit die eigene Umgebung das unterstützt.
• Bei Threat-Prevention-Lizenz die Threat IDs 510046 und 510047 nur als Ergänzung aktivieren, nicht als Ersatz für das Update.
• Nicht unterstützte PAN-OS-Stände kurzfristig auf einen gepflegten Zweig migrieren.

Einordnung für Unternehmen

Für kleine und mittlere Unternehmen ist die Firewall oft das zentrale Sicherheitsgerät, das gleichzeitig VPN, Internetzugang und Netzsegmentierung steuert. Eine Root-Übernahme an dieser Stelle hebelt die übrigen Schutzmaßnahmen aus. Die gute Nachricht: Wer die Verwaltung schon heute strikt aus einem eigenen Admin-Netz betreibt, hat das Risiko deutlich gesenkt. Wer dagegen eine öffentlich erreichbare Weboberfläche nutzt, sollte das Update nicht bis zum nächsten regulären Patchtag aufschieben.

Dienstleister, die Firewalls für mehrere Kunden betreuen, sollten zusätzlich prüfen, ob ihre eigenen Admin-Zugänge und Passwortspeicher sauber abgesichert sind. Denn genau diese Zugangsdaten setzt ein Angriff auf CVE-2026-0322 voraus.

Passende Anleitungen auf S-EDV

• Palo Alto GlobalProtect CVE-2026-0257: Hintergrund zur anders gelagerten VPN-Lücke aus dem Juni.
• Netzwerksegmentierung mit VLANs und Firewall-Regeln: Management-Netze sauber vom übrigen Netz trennen.
• Wazuh als SIEM mit Docker: Firewall-Logs zentral sammeln und auf verdächtige Anmeldungen auswerten.

Quellen

• Palo Alto Networks Security Advisory CVE-2026-0322
• CISA Known Exploited Vulnerabilities Catalog
• BleepingComputer zur PAN-OS-Lücke und den Angriffen
• Palo Alto Empfehlungen zur Absicherung des Management-Zugangs