PAN-OS-Schwachstelle wird für root code execution ausgenutzt
Die als CVE-2026-0322 erfasste PAN-OS-Schwachstelle wird aktiv ausgenutzt, was zur Veröffentlichung von Sicherheitsupdates für betroffene Firewall- und Panorama-Systeme geführt hat. Palo Alto Networks stuft die Schwachstelle mit einem Wert von 8,6 im Common Vulnerability Scoring System (CVSS) als hochriskant ein und erklärt, dass eine Ausnutzung einem authentifizierten Angreifer die Kontrolle über ein Gerät auf root-Ebene ermöglichen kann.
CVE-2026-0322 ist eine remote code execution (RCE)-Schwachstelle im management interface von PAN-OS, also in dem administrativen System, mit dem das Produkt konfiguriert und gesteuert wird. Ein Angreifer muss über eine gültige Authentifizierung und Netzwerkzugriff auf dieses Interface verfügen. Sind diese Voraussetzungen erfüllt, ermöglicht die Schwachstelle das Ausführen beliebigen Codes mit root privileges, also der höchsten Kontrollebene über das zugrunde liegende System. Nach Angaben des Anbieters ist für die Ausnutzung keine besondere Produktkonfiguration erforderlich.
Die Schwachstelle betrifft PAN-OS auf Firewalls der PA-Series und VM-Series. Sie betrifft außerdem Panorama-Deployments, die als virtuelle Systeme oder auf Appliances der M-Series betrieben werden. Cloud NGFW und Prisma Access sind nicht betroffen. Palo Alto Networks erklärte, eine „sehr begrenzte Ausnutzung“ beobachtet zu haben, die sich gegen das management interface richtete. Das Unternehmen teilte jedoch nicht mit, was die Angreifer taten, wann die Aktivitäten begannen oder wer dafür verantwortlich war.
Der Anbieter brachte drei den USA geografisch zugeordnete IP-Adressen mit den Ausnutzungsversuchen in Verbindung: 66.42.72[.]14, 208.83.239[.]114 und 149.248.47[.]234. Diese Angaben können Sicherheitsteams dabei helfen, relevante Netzwerkprotokolle zusammen mit anderen Hinweisen auf verdächtige Zugriffe zu prüfen. Die Schwachstelle wurde von einem Senior Principal Product Security Researcher innerhalb von Palo Alto Networks entdeckt und gemeldet.
Korrigierte PAN-OS-Versionen stehen für mehrere unterstützte Branches zur Verfügung. Für PAN-OS 12.2 ist Version 12.2.4 oder höher korrigiert. Die Korrekturen für PAN-OS 12.1 sind 12.1.4-h12, 12.1.7-h8, 12.1.10-h2 oder jeweils höhere Versionen in den entsprechenden Release-Linien. Administratoren sollten das Update an den bereits eingesetzten Branch anpassen, anstatt die Liste als einen einzigen Upgrade-Pfad zu betrachten.
Für PAN-OS 11.2 sind die korrigierten Builds 11.2.4-h22, 11.2.7-h21, 11.2.10-h15 und 11.2.13-h3 oder höher aufgeführt. PAN-OS 11.2.16 ist ebenfalls genannt und soll voraussichtlich am 15. Oktober 2026 verfügbar sein. Die Korrekturen für PAN-OS 11.1 sind 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 und 11.1.16-h3 oder jeweils höhere Versionen in der entsprechenden Release-Linie.
Nutzer von PAN-OS 10.2 sollten abhängig von ihrer derzeitigen Release-Linie auf 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 oder 10.2.18-h12 beziehungsweise eine höhere Version wechseln. Da eine Ausnutzung bereits beobachtet wurde, sollten Organisationen, die eine betroffene Version einsetzen, die Installation des entsprechenden Sicherheitsupdates mit hoher Priorität behandeln. Websitebetreiber, deren Dienste von Netzwerken abhängen, die durch diese Systeme geschützt oder verwaltet werden, sollten bei ihrem internen IT-Team oder Hostinganbieter bestätigen lassen, dass betroffene Verwaltungssysteme identifiziert und aktualisiert wurden.
Palo Alto Networks empfiehlt außerdem, den Zugriff auf das management interface auf vertrauenswürdige interne IP-Adressen zu beschränken. Als strengere Schutzmaßnahme empfiehlt das Unternehmen, Verwaltungszugriffe nur über eine jump box zuzulassen, also über einen festgelegten zwischengeschalteten Computer für den Zugriff auf sensible administrative Systeme. Dies ersetzt das Sicherheitsupdate nicht, reduziert aber die Zahl der Systeme, die eine Verbindung zum anfälligen Interface herstellen können.
Eine separate, aktiv ausgenutzte Schwachstelle betrifft Cisco Secure Email Gateway. CVE-2026-76519 hat einen CVSS-Wert von 9,8 und kann aus der Ferne ohne Authentifizierung ausgenutzt werden, wenn der file reputation service aktiviert ist. Cisco führt das Problem auf die fehlerhafte Verarbeitung von E-Mail-Anhängen zurück. Ein Angreifer kann einen speziell präparierten Anhang über ein betroffenes Gerät senden und dadurch möglicherweise beliebige Dateien schreiben und Befehle mit root privileges auf dessen Betriebssystem ausführen.
Die U.S. Cybersecurity and Infrastructure Security Agency (CISA) hat sowohl CVE-2026-0322 als auch CVE-2026-76519 in ihren Known Exploited Vulnerabilities (KEV) catalog aufgenommen. US-Bundesbehörden der zivilen Exekutive müssen die Korrekturen bis zum 17. Oktober 2026 priorisieren. Die Aufnahme in den Katalog bestätigt, dass eine Ausnutzung beobachtet wurde, und macht eine schnelle Behebung für Organisationen, die eines der beiden betroffenen Produkte einsetzen, besonders wichtig.
Für Unternehmen, die Unterstützung bei der Bewertung ihrer Firewall-Verwaltung im Rahmen ihrer umfassenderen Technologieumgebung benötigen, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsleistungen an. Unabhängig davon, wer das Gerät verwaltet, bestehen die unmittelbaren Prioritäten darin, betroffene PAN-OS-Installationen zu identifizieren, die richtige korrigierte Version einzuspielen und den Verwaltungszugriff auf vertrauenswürdige Systeme zu beschränken.