CVE-2026-0322: Authentifizierte Remotecodeausführung über die PAN-OS-Verwaltungsoberfläche

Was passiert ist

Eine Schwachstelle in der PAN-OS-Verwaltungsoberfläche ermöglicht einem authentifizierten Angreifer mit Netzwerkzugriff, auf der Firewall beliebigen Code mit Root-Rechten auszuführen. Der Angriff erfolgt über das Netzwerk, weist eine geringe Angriffskomplexität auf und erfordert keine Nutzerinteraktion, setzt jedoch einen erhöhten authentifizierten Zugriff voraus. Palo Alto Networks bewertet das Problem als hoch mit einem CVSS-4.0-Wert von 8,6.

Die Schwachstelle wird aktiv ausgenutzt. CISA hat CVE-2026-0322 am 14. Oktober 2026 in den Katalog „Known Exploited Vulnerabilities“ aufgenommen; die Frist endet am 17. Oktober 2026. ENISA EUVD verzeichnet seit dem 14. Oktober 2026 eine Ausnutzung, und Palo Alto Networks gibt an, dass eine sehr begrenzte, auf die Verwaltungsoberfläche gerichtete Ausnutzung beobachtet wurde.

Eine erfolgreiche Ausnutzung verschafft einem Angreifer die Kontrolle mit Root-Rechten über die betroffene Firewall; die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch. Palo Alto Networks weist darauf hin, dass eine Beschränkung des Zugriffs auf die Verwaltungsoberfläche auf ausschließlich vertrauenswürdige interne IP-Adressen das Risiko minimiert.

Wer betroffen ist

Betroffen ist PAN-OS-Software auf Firewalls der PA-Serie und der VM-Serie sowie auf Panorama, einschließlich virtueller Panorama-Instanzen und Panorama der M-Serie. Betroffene Versionen sind 12.2.0 bis zu Versionen vor 12.2.4, 12.1.0 bis zu Versionen vor 12.1.10-h2, 11.2.0 bis zu Versionen vor 11.2.16, 11.1.0 bis zu Versionen vor 11.1.16-h3 und 10.2.0 bis zu Versionen vor 10.2.18-h12. Cloud NGFW und Prisma Access sind nicht betroffen.

Was jetzt zu tun ist

1. Spielen Sie die korrigierte PAN-OS-Version für Ihren Zweig ein. Die korrigierten Versionen sind:

• PAN-OS 12.2: 12.2.4
• PAN-OS 12.1: 12.1.4-h12, 12.1.7-h8, 12.1.10-h2
• PAN-OS 11.2: 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3, 11.2.16
• PAN-OS 11.1: 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15, 11.1.16-h3
• PAN-OS 10.2: 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11, 10.2.18-h12

1. Palo Alto Networks gibt an, dass keine bekannten Problemumgehungen existieren. Wer über ein Threat-Prevention-Abonnement verfügt, kann einen begrenzten Schutz erhalten, indem Threat-IDs 510046 und 510047 ab der Content-Version 9159-10287 von Applications and Threats oder höher aktiviert und die Konfigurationsschritte im Sicherheitshinweis von Palo Alto Networks umgesetzt werden.

1. Beschränken Sie den Zugriff auf die Verwaltungsoberfläche entsprechend den von Palo Alto Networks empfohlenen Best-Practice-Richtlinien für die Bereitstellung auf vertrauenswürdige interne IP-Adressen.

Wie man es erkennt

Palo Alto Networks hat für dieses Problem keine spezifischen Kompromittierungsindikatoren veröffentlicht. Da der Hersteller über eine auf die Verwaltungsoberfläche gerichtete Ausnutzung berichtet, sollten Sie die Authentifizierungs- und Befehlsaktivitäten der Managementebene auf unerwartete authentifizierte Sitzungen oder Änderungen prüfen. Wenn Sie Threat Prevention einsetzen, stellen Sie sicher, dass die Threat-IDs 510046 und 510047 aktiviert sind, damit versuchte Ausnutzungen erkannt oder eingeschränkt werden können.

Über den Patch hinaus

Eine ausgenutzte Schwachstelle zur Remotecodeausführung in einer Firewall-Verwaltungsoberfläche ist ein Anlass zu prüfen, ob das Gerät vor dem Einspielen der Sicherheitsupdates bereits erreicht wurde. Da CISA KEV und ENISA EUVD eine aktive Ausnutzung verzeichnen, unterstützen Incident Response Retainer und Managed Detection & Response (MDR) bei Erkennung und Reaktion, falls ein Angreifer bereits gültige Zugangsdaten verwendet hat. Implementierungs- und Bewertungsleistungen können die Angriffsfläche der Managementebene prüfen und härten, damit die nächste PAN-OS-Schwachstelle nicht wieder dieselbe offene Tür vorfindet.