PAN-OS unter Beschuss: GlobalProtect-Lücke CVE-2026-0257 wird aktiv ausgenutzt

Erneut steht ein weit verbreitetes VPN-Produkt im Visier von Angreifern: Die Schwachstelle CVE-2026-0257 in der GlobalProtect-Komponente von Palo Altos Betriebssystem PAN-OS wird laut mehreren Sicherheitsfirmen aktiv ausgenutzt. Die US-Cyberbehörde CISA hat den Fehler in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und Bundesbehörden zum schnellen Handeln verpflichtet.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Was genau ist passiert?

Palo Alto Networks veröffentlichte am 13. Mai 2026 ein Advisory zu einer Authentifizierungs-Bypass-Lücke in den GlobalProtect-Portalen und -Gateways von PAN-OS. Über die Schwachstelle können Angreifer die Anmeldung umgehen und eine unautorisierte VPN-Verbindung in das Unternehmensnetz aufbauen – in betroffenen Konfigurationen auch mit Administratorrechten.

Anfangs wurde der Fehler nur als mittelschwer eingestuft. Nachdem die Sicherheitsfirma Rapid7 am 29. Mai 2026 eine technische Analyse samt funktionierendem Proof-of-Concept veröffentlicht hatte, hob Palo Alto den CVSS-Wert von zunächst 4,7 auf 7,8 an.

Die technische Ursache

Der Kern des Problems liegt in der Behandlung sogenannter Authentication-Override-Cookies. Anfällige PAN-OS-Versionen vertrauen jedem Cookie, das sie entschlüsseln können – ohne zu prüfen, ob das Gerät es selbst legitim erzeugt hat. Wird dasselbe Zertifikat sowohl für den öffentlichen GlobalProtect-HTTPS-Dienst als auch für die Verschlüsselung dieser Cookies eingesetzt, kann ein Angreifer die Zertifikatskette über den öffentlich erreichbaren Dienst abgreifen und damit gültige Cookies für beliebige Nutzer fälschen.

Betroffen sind also Firewalls, bei denen ein GlobalProtect-Portal oder -Gateway konfiguriert ist, die Authentication-Override-Cookies aktiviert sind und die beschriebene Zertifikatskonstellation vorliegt.

Aktive Ausnutzung beobachtet

Rapid7 dokumentierte mehrere Angriffswellen. Bei einer zweiten Welle ab dem 21. Mai 2026 beobachteten die Analysten, dass nach erfolgreicher Cookie-Authentifizierung tatsächlich eine VPN-IP zugewiesen wurde – die Angreifer erhielten damit Zugang zum internen Netzwerk. Aufgrund gleichbleibender Merkmale geht Rapid7 davon aus, dass dieselbe Akteursgruppe hinter den Wellen steckt. Auch Palo Altos eigene Threat-Intelligence-Einheit Unit 42 und Help Net Security berichteten über die laufende Ausnutzung.

Das sollten Admins jetzt tun

• Patchen: Die von Palo Alto bereitgestellten korrigierten PAN-OS-Versionen einspielen.
• Konfiguration härten: Als Sofortmaßnahme entweder die Authentication-Override-Funktion deaktivieren oder ein eigenes, ausschließlich dafür genutztes Zertifikat generieren.
• Prüfen: Logs auf ungewöhnliche VPN-Anmeldungen und IP-Zuweisungen kontrollieren – ein PoC ist öffentlich, die Hürde für Nachahmer also niedrig.

Die CISA-Frist für US-Bundesbehörden lief bereits am 1. Juni 2026 ab. Unternehmen sollten den Fehler mit derselben Dringlichkeit behandeln, denn Edge-Geräte wie VPN-Gateways gehören weiterhin zu den beliebtesten Einfallstoren für Ransomware-Gruppen.

Fazit

CVE-2026-0257 reiht sich in eine lange Serie von Angriffen auf VPN- und Edge-Appliances ein. Die Lehre bleibt dieselbe: Internet-exponierte Sicherheitsgeräte müssen besonders schnell gepatcht und sauber konfiguriert werden. Wer GlobalProtect einsetzt, sollte Patch-Status und Zertifikatskonfiguration umgehend prüfen.

Quellen

• Palo Alto Networks Security Advisory – CVE-2026-0257
• Rapid7: Observed Exploitation of CVE-2026-0257
• Unit 42: Threat Brief zu CVE-2026-0257
• Help Net Security: Hackers exploit Palo Alto GlobalProtect bypass
• CISA Known Exploited Vulnerabilities Catalog