Palo Alto PAN-OS: CVE-2026-0322 für Root-Zugriff ausgenutzt

Palo Alto Networks hat am 14. Oktober 2026 CVE-2026-0322 offengelegt, eine Lücke in der Firewall-Software PAN-OS, die Angreifer bereits ausnutzen. Sie erlaubt einem Angreifer, der sich an der Management-Oberfläche der Firewall anmelden kann, beliebigen Code als root auszuführen, dem allmächtigen Administratorkonto des Geräts. Die US-Behörde Cybersecurity and Infrastructure Security Agency (CISA) gab Bundesbehörden bis zum 17. Oktober Zeit für die Behebung. Jedes Team, das diese Firewalls betreibt, sollte heute seine Version prüfen.

PAN-OS ist das Betriebssystem der Firewalls von Palo Alto, also der Netzwerkgeräte, die den Rand vieler Firmennetze schützen. Die Management-Oberfläche ist die Webseite samt Dienst, mit der Administratoren sie konfigurieren.

Was die Lücke bewirkt

Der Fehler ist eine Code-Injection-Lücke, heißt es in Palo Altos Sicherheitsmeldung. Code-Injection bedeutet, dass ein Angreifer eigene Befehle in Eingaben einschleust, die die Software dann ausführt. Sie „ermöglicht es einem authentifizierten Angreifer mit Netzwerkzugriff, beliebigen Code mit Root-Rechten auf der Firewall auszuführen“, so die Meldung.

Sie wird auf CVSS 4.0, der gängigen Schweregrad-Skala, mit 8,6 von 10 bewertet, was als hoch gilt. Der Angreifer braucht ein gültiges Login, die Lücke ist also keine offene Tür für jeden im Internet. BleepingComputer schreibt, Angreifer benötigten vorhandene Zugangsdaten und Netzwerkzugriff auf die Management-Oberfläche. Der Hersteller ergänzt: „Es ist keine spezielle Konfiguration erforderlich, um von diesem Problem betroffen zu sein.“

„Es wurde eine sehr begrenzte Ausnutzung beobachtet, die auf die Management-Oberfläche von Palo Alto Networks abzielt“, heißt es in der Meldung. Palo Alto teilte drei IP-Adressen, die mit den Angriffen in Verbindung stehen, berichtet BleepingComputer. Niemand hat die Angreifer benannt, gesagt, wann die Angriffe begannen, oder wie viele Kunden getroffen wurden.

Welche Produkte betroffen sind

Betroffen sind Firewalls der PA-Serie und der VM-Serie sowie virtuelle Panorama-Appliances und Panorama-Appliances der M-Serie. Panorama ist das Werkzeug, das viele Firewalls gleichzeitig verwaltet. Cloud NGFW und Prisma Access, die Cloud-Dienste von Palo Alto, sind nicht betroffen.

Die Meldung nennt diese behobenen Versionen. Für jeden Versionszweig gibt es auch ältere Hotfix-Optionen, die auf der Seite der Meldung aufgeführt sind.

PAN-OS-Zweig	Upgrade auf	Ältere Hotfix-Optionen
12.2	12.2.4 oder neuer	keine aufgeführt
12.1	12.1.10-h2	12.1.7-h8, 12.1.4-h12
11.2	11.2.16	11.2.13-h3, 11.2.10-h15, 11.2.7-h21, 11.2.4-h22
11.1	11.1.16-h3	11.1.13-h15, 11.1.10-h35, 11.1.7-h11, 11.1.6-h39, 11.1.4-h37
10.2	10.2.18-h12	10.2.16-h11, 10.2.13-h26, 10.2.10-h41, 10.2.7-h38

Version 11.2.16 wurde am 15. Oktober veröffentlicht. Ältere, nicht mehr unterstützte Versionen sollten auf eine unterstützte, behobene Version wechseln, sagt der Hersteller.

Kein Workaround, nur Härtung

„Für dieses Problem sind keine Workarounds bekannt“, stellt die Meldung fest. Threat-Prevention-Signaturen mit den Threat IDs 510046 und 510047 bieten begrenzten Schutz, und das nur bei aktivierter SSL-Entschlüsselung. Die Meldung schlägt außerdem diese Schritte vor:

• Management-Zugriff nur von vertrauenswürdigen internen IP-Adressen oder von einer einzigen Jump-Box erlauben. Eine Jump-Box ist ein einzelner gehärteter Rechner, der als einziges System die Oberfläche erreichen darf.
• Management-Datenverkehr über einen Datenport leiten und dafür ein Management-Profil auf dieser Schnittstelle nutzen.
• Eingehenden Datenverkehr zur Management-Oberfläche entschlüsseln und dafür Threat Prevention aktivieren.

„Das Risiko ist am höchsten, wenn Sie Zugriff auf die Management-Oberfläche von externen IP-Adressen im Internet erlauben“, heißt es in der Meldung.

Die Frist der CISA

Die CISA nahm die Lücke am 14. Oktober in ihren Katalog Known Exploited Vulnerabilities auf, berichtet CSO Online. Der Katalog listet Fehler, die Angreifer bekanntermaßen ausnutzen. Die Behörde setzte nach der Binding Operational Directive 26-04 eine Frist bis zum 17. Oktober. Außerdem markierte sie die Lücke für eine forensische Triage, also eine Prüfung auf Spuren eines früheren Einbruchs.

Der Fehler wurde intern bei Palo Alto von Suraj Siddharudh gefunden, einem Senior Principal Product Security Researcher. Palo Alto veröffentlichte in dieser Woche außerdem etwa ein Dutzend weitere Sicherheitsmeldungen, alle mit mittlerem oder niedrigem Schweregrad, berichtet SecurityWeek. Edge-Geräte bleiben unter Beschuss: Tech AI Wire berichtete am 15. Oktober über eine Zero-Day-Kette in Ivanti Connect Secure.

Was das für Entwickler bedeutet

• Ihre Version mit der Tabelle abgleichen. Führen Sie die PAN-OS-Versionsprüfung auf jeder Firewall und jedem Panorama-Gerät aus. Alles unterhalb der aufgeführten Version für den jeweiligen Zweig braucht das Upgrade.
• Die Management-Oberfläche vom Internet nehmen. Der Hersteller verbindet das höchste Risiko mit Zugriff aus dem Internet. Wenn Ihre Oberfläche von außen erreichbar ist, schließen Sie das zuerst.
• Admin-Logins als eigentliches Ziel behandeln. Der Angreifer braucht Zugangsdaten. Prüfen Sie, wer Management-Konten hat, ändern Sie deren Passwörter und verlangen Sie, wo möglich, einen zweiten Faktor.
• Nach einem früheren Einbruch suchen, nicht nur patchen. Die CISA hat diesen Fehler für eine forensische Triage markiert. Patchen stoppt neue Angriffe, entfernt aber keinen Eindringling, der schon vorher hineingelangt ist. Prüfen Sie die Logs auf Anmeldungen von den drei IP-Adressen, die Palo Alto genannt hat.
• Sich nicht allein auf Signaturen verlassen. Die Threat IDs 510046 und 510047 helfen nur bei aktivierter SSL-Entschlüsselung. Sie sind eine Übergangslösung, bis das Upgrade erledigt ist.