PAN-OS-Zero-Day CVE-2026-0322 für Root-Zugriff ausgenutzt

Palo Alto Networks hat eine schwerwiegende Sicherheitslücke in PAN-OS geschlossen, über die sich Code aus der Ferne ausführen lässt und die Angreifer bereits gegen Firewalls des Herstellers ausgenutzt haben. Die Schwachstelle wird als CVE-2026-0322 geführt und steckt in der Verwaltungsoberfläche von PAN-OS.

Ein Angreifer, der angemeldet ist und über das Netzwerk auf diese Oberfläche zugreifen kann, kann auf einem verwundbaren Gerät Code mit Root-Rechten ausführen. In einem am Mittwoch veröffentlichten Sicherheitshinweis bestätigte das Unternehmen, dass die Lücke bei einer kleinen Zahl von Angriffen genutzt wurde.

"Es wurde eine sehr begrenzte Ausnutzung beobachtet, die sich gegen die Verwaltungsoberfläche von Palo Alto Networks richtet", erklärte der Hersteller.

Betroffene Produkte und korrigierte Versionen

Die Lücke hat einen Schweregrad von 8,6. Betroffen sind Firewalls der PA-Serie und der VM-Serie sowie virtuelle Panorama-Systeme und Appliances der M-Serie. Panorama ist die zentrale Verwaltungsplattform des Unternehmens für seine Firewalls. Cloud NGFW und Prisma Access sind laut Palo Alto nicht betroffen.

Korrekturen stehen für die betroffenen Versionen von PAN-OS 10.2, 11.1, 11.2, 12.1 und 12.2 bereit. Eine Korrektur für PAN-OS 11.2.16 wird für den 15. Oktober erwartet. Kunden, die noch ältere, nicht mehr unterstützte Versionen einsetzen, müssen auf eine unterstützte Version wechseln, um geschützt zu sein.

Entdeckt wurde die Schwachstelle intern von Suraj Siddharudh, Senior Principal Product Security Researcher bei Palo Alto Networks.

Zugangsdaten und Zugriff erforderlich

Nicht jeder im Internet kann den Angriff durchführen. Ein Angreifer braucht gültige Zugangsdaten und Netzwerkzugriff auf die Verwaltungsoberfläche von PAN-OS. Palo Alto rät Kunden deshalb, den Zugriff auf diese Oberfläche nur von vertrauenswürdigen internen IP-Adressen aus zuzulassen.

Bekannte Umgehungslösungen gibt es nicht. Kunden mit einem Threat-Prevention-Abonnement können Signaturen aktivieren, die einen gewissen Schutz vor bekannten Angriffsmustern bieten. Das Unternehmen stellt jedoch klar, dass dieser Schutz Lücken hat.

"Die eingeschränkte Abdeckung in Threat Prevention bedeutet, dass bekannte Angriffsmuster zwar mit der aktuellen Threat ID erkannt werden können, es aber Varianten geben kann, die derzeit nicht erkennbar sind", warnte Palo Alto.

"Wenn diese CVE und die für eine Gefährdung erforderliche Konfiguration Ihre Umgebung betreffen, empfehlen wir ein Upgrade auf eine nicht betroffene Version", fügte das Unternehmen hinzu.

IP-Adressen der Angreifer und Frist der CISA

Palo Alto hat drei IP-Adressen veröffentlicht, die mit der Ausnutzung der Lücke in Verbindung stehen:

• 66.42.72[.]14
• 208.83.239[.]114
• 149.248.47[.]234

Mehrere wichtige Fragen sind noch offen. BleepingComputer hat das Unternehmen gefragt, wann die Angriffe begannen, wer dahintersteckt und ob die Angreifer Firewalls kompromittiert oder sie genutzt haben, um in interne Netzwerke vorzudringen.

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat CVE-2026-0322 in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. Der KEV-Katalog führt Lücken auf, die nachweislich aktiv angegriffen werden. Die Aufnahme setzt für zivile US-Bundesbehörden verbindliche Fristen in Gang. In diesem Fall müssen die Behörden die Lücke bis zum 17. Oktober entschärfen, ihnen bleiben also nur wenige Tage.

Unsere Einschätzung

Weil gültige Zugangsdaten nötig sind, mag die Lücke weniger dringlich wirken, doch Verteidiger sollten mit dieser Lesart vorsichtig sein. Angreifer kommen oft über Phishing, wiederverwendete geleakte Passwörter oder frühere Einbrüche an Zugangsdaten, und die bestätigte Ausnutzung deutet darauf hin, dass zumindest einige von ihnen hatten, was sie brauchten. Root-Zugriff auf eine Firewall ist so ziemlich der wertvollste Brückenkopf, den ein Angreifer bekommen kann.

Der Fall passt zudem in ein größeres Muster. Edge- und Netzwerkgeräte tauchen immer wieder in Berichten über ausgenutzte Zero-Days auf, wie zuletzt bei der Zero-Day-Lücke im Cisco Secure Email Gateway, der SAML-Lücke in Citrix NetScaler und den Angriffen auf SonicWall-SMA1000-Geräte. Verwaltungsoberflächen, die über vertrauenswürdige Netzwerke hinaus erreichbar sind, bleiben eine wiederkehrende Schwachstelle.

Administratoren sollten patchen, den Verwaltungszugriff abschotten und ihre Logs nach den veröffentlichten IP-Adressen durchsuchen. Es lohnt sich zu beobachten, ob Palo Alto mehr darüber verrät, wer hinter den Angriffen steckt und ob interne Netzwerke erreicht wurden.