Aktive Ausnutzung einer Sicherheitslücke in Palo Alto PAN-OS, die die Ausführung von Remote-Code ermöglicht (CVE-2026-0322)

Palo Alto Networks hat Sicherheitsupdates veröffentlicht, die die Sicherheitslücke CVE-2026-0322 beheben, eine schwerwiegende Schwachstelle, die die Ausführung von Remote-Code (RCE) durch authentifizierte Benutzer ermöglicht und die Verwaltungsschnittstelle von PAN-OS betrifft. Der Anbieter hat bestätigt, dass die Sicherheitslücke derzeit aktiv ausgenutzt wird, wobei Angriffsversuche auf ungeschützte Verwaltungsschnittstellen beobachtet wurden.

Eine erfolgreiche Ausnutzung ermöglicht es einem authentifizierten Angreifer mit Netzwerkzugriff auf die Verwaltungsschnittstelle, beliebigen Code mit Root-Rechten auszuführen, was möglicherweise zu einer vollständigen Kompromittierung der Firewall oder der Panorama-Verwaltungsplattform führen kann.

Die Sicherheitslücke wurde in den CISA-Katalog „Known Exploited Vulnerabilities“ (KEV) aufgenommen, was das erhöhte Risiko unterstreicht und eine vorrangige Behebung durch US-Bundesbehörden erforderlich macht.

Details zur Sicherheitslücke

Laut Palo Alto Networks liegt die Schwachstelle in der PAN-OS-Verwaltungsschnittstelle und ermöglicht es authentifizierten Angreifern mit Netzwerkzugriff, beliebige Befehle als Root-Benutzer auszuführen.

Behobene Versionen

Führen Sie ein Upgrade auf die folgenden PAN-OS-Versionen oder höher durch:

• PAN-OS 12.2.4+
• PAN-OS 12.1.4-h12+, 12.1.7-h8+, 12.1.10-h2+
• PAN-OS 11.2.4-h22+, 11.2.7-h21+, 11.2.10-h15+, 11.2.13-h3+, 11.2.16+
• PAN-OS 11.1.4-h37+, 11.1.6-h39+, 11.1.7-h11+, 11.1.10-h35+, 11.1.13-h15+, 11.1.16-h3+
• PAN-OS 10.2.7-h38+, 10.2.10-h41+, 10.2.13-h26+, 10.2.16-h11+, 10.2.18-h12+

Betroffene Produkte

Die folgenden Produkte sind betroffen:

• Firewalls der PA-Serie
• Firewalls der VM-Serie
• Panorama Virtual Appliances
• Panorama-Appliances der M-Serie

Die folgenden Dienste sind nicht betroffen:

• Cloud-NGFW
• Prisma Access

Festgestellte Anzeichen für eine Kompromittierung

Palo Alto Networks hat die folgenden IP-Adressen als mit beobachteten Ausnutzungsversuchen in Verbindung stehend identifiziert:

Hinweis: Diese Indikatoren sollten ausschließlich als Anhaltspunkte für die Untersuchung betrachtet werden. Das bloße Blockieren dieser IP-Adressen reicht nicht aus, um die Sicherheitslücke zu schließen.

Empfohlene Maßnahmen

1. Installieren Sie unverzüglich einen Patch auf den betroffenen Geräten, um auf eine behobene PAN-OS-Version zu aktualisieren.
2. Überprüfen Sie alle mit dem Internet verbundenen Verwaltungsschnittstellen.
3. Beschränken Sie den administrativen Zugriff ausschließlich auf vertrauenswürdige interne Verwaltungsnetzwerke.
4. Deaktivieren Sie den direkten Internetzugang der Verwaltungsschnittstelle.
5. Untersuchen Sie die Authentifizierungsprotokolle auf verdächtige Administratoraktivitäten.

Palo Alto Networks empfiehlt insbesondere:

• Den Zugriff auf die Verwaltungsschnittstelle auf vertrauenswürdige interne IP-Adressen zu beschränken.
• Verwenden Sie einen dedizierten Jump-Host, der als einziger Verwaltungszugangspunkt dient.

Weitere bewährte Vorgehensweisen:

• Setzen Sie MFA für alle Administratorkonten durch.
• Implementieren Sie Privileged Access Management (PAM).
• Trennung des Verwaltungsdatenverkehrs von den Produktionsnetzwerken.
• Umfassende Audit-Protokollierung und SIEM-Erfassung aktivieren.
• Überwachen Sie neue oder geänderte Administratorkonten.

Wenn Sie Bedenken hinsichtlich einer der in diesem Bulletin beschriebenen Bedrohungen haben oder Hilfe bei der Festlegung der Maßnahmen benötigen, mit denen Sie sich vor den größten Bedrohungen für Ihr Unternehmen schützen können, wenden Sie sich bitte an Ihren Kundenbetreuer oder kontaktieren Sie uns, um zu erfahren, wie Sie Ihr Unternehmen schützen können.