20. Mai 2026 · Security-Advisory · Palo Alto Networks

PAN-OS im Mai 2026: zwei Schwachstellen, eine wird aktiv ausgenutzt

Zwei PAN-OS-Lücken im Mai 2026: Root-RCE über das Captive Portal und GlobalProtect-Auth-Bypass. Wer betroffen ist und welche Härtung jetzt zählt.

Palo Alto Networks hat im Mai 2026 innerhalb einer Woche zwei Schwachstellen in PAN-OS offengelegt – eine davon wird bereits aktiv ausgenutzt. Am 5. Mai wurde CVE-2026-0300 veröffentlicht: ein nicht authentifiziert erreichbarer Buffer Overflow in der User-ID-/Captive-Portal-Komponente, der Remote Code Execution mit Root-Rechten auf der Firewall ermöglicht – laut Hersteller mit einem CVSS-v4-Wert von 9,3. Schon zur Offenlegung berichtete Palo Alto Networks von begrenzter aktiver Ausnutzung; inzwischen kursieren zudem öffentliche, bislang nicht verifizierte PoC-Repositories, und die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen.

Am 13. Mai folgte CVE-2026-0257: ein Authentication Bypass in GlobalProtect über gefälschte Authentication-Override-Session-Cookies, laut Hersteller mit einem CVSS-Wert von 4,7 bewertet. Die Lücke greift nur, wenn Authentication-Override-Cookies aktiviert sind und das Cookie-Signing-Zertifikat wiederverwendet wird – dann aber erlaubt sie den Zugang zum VPN ohne gültige Anmeldedaten. Eine Ausnutzung ist bislang nicht öffentlich gemeldet; der moderate CVSS-Wert sollte aber nicht darüber hinwegtäuschen, dass diese Konfigurationskombination in der Praxis vorkommt – prüfen Sie die eigene Konfiguration proaktiv.

Zur Größenordnung: Rund 225.000 PAN-OS-Instanzen sind laut Shodan aus dem Internet erreichbar. Das ist die potenzielle Angriffsfläche – tatsächlich ausnutzbar über CVE-2026-0300 sind aber nur Systeme, auf denen das Captive Portal aktiviert ist, was nicht der Auslieferungszustand ist. Diese Unterscheidung ist wichtig: Sie entscheidet, ob Sie unter Zeitdruck stehen oder geordnet patchen können. Wer die eigene Konfiguration nicht kennt, muss vom ungünstigeren Fall ausgehen.

Wer ist betroffen

Betroffen sind die PAN-OS-Versionszweige 10.2, 11.1, 11.2 und 12.1. Palo Alto Networks veröffentlicht die fehlerbereinigten Versionen gestaffelt je Zweig – nicht für jeden Zweig steht bereits ein Fix zur Verfügung. Für die Ausnutzbarkeit gilt:

  • CVE-2026-0300: nur Firewalls mit aktiviertem Captive Portal (nicht Standard) – dann jedoch ohne Authentifizierung und mit Root-Rechten.
  • CVE-2026-0257: nur GlobalProtect-Installationen mit aktivierten Authentication-Override-Cookies in Kombination mit einem wiederverwendeten Signing-Zertifikat.

Was jetzt zu tun ist

  • Verfügbare Patches sofort einspielen: Die Fixes erscheinen gestaffelt je Versionszweig – spielen Sie jede verfügbare fehlerbereinigte Version umgehend ein und beobachten Sie die Advisories laufend. CVE-2026-0300 wird aktiv ausgenutzt; hier zählt jeder Tag. Für Zweige ohne verfügbaren Fix greifen bis dahin die folgenden Konfigurationsmaßnahmen.
  • Captive Portal prüfen und, wenn ungenutzt, deaktivieren: Was nicht aktiv ist, ist über CVE-2026-0300 nicht angreifbar – die wirksamste Sofortmaßnahme neben dem Patch.
  • Authentication-Override-Cookies abschalten oder zumindest ein dediziertes, nicht wiederverwendetes Signing-Zertifikat einsetzen; bei Verdacht auf Missbrauch das Zertifikat tauschen und bestehende Sessions invalidieren.
  • Exposition minimieren: Das Management-Interface gehört nicht ins Internet; GlobalProtect-Portale nur so weit exponieren, wie es der Remote-Access-Bedarf erfordert.
  • Logs prüfen: GlobalProtect-Anmeldungen auf ungewöhnliche Muster sowie die Firewall selbst auf Anzeichen einer Kompromittierung untersuchen – insbesondere dort, wo das Captive Portal aktiv war.

Wie sector7 unterstützt

Als inhabergeführtes Systemhaus mit Palo-Alto-Networks-Zertifizierung prüfen wir Ihre Firewall-Konfiguration auf die beiden Angriffsvoraussetzungen und fahren das Patch-Rollout kontrolliert über HA-Paare und Standorte. Unser 24/7-NOC-Monitoring behält Ihre Sicherheitsinfrastruktur auch nach dem Patch im Blick – zu festen Monatspreisen.

Quellen

Sprechen wir über Ihre Situation.

Gespräch vereinbaren +49 212 240915 0