Der niederländische NCSC warnt vor aktivem Missbrauch einer PAN-OS Sicherheitslücke. Besonders relevant ist dabei die GlobalProtect Portal- und Gateway-Komponente von PAN-OS: Ein Angreifer kann unter bestimmten Bedingungen über eine VPN-Verbindung unautorisierte Zugriffe auf interne Systeme erlangen. Da das Risiko als sehr hoch eingestuft wurde, lautet die klare Empfehlung: Security Updates so schnell wie möglich installieren.
Die Meldung betont außerdem, dass Sicherheitsforscher die Ausnutzung bereits seit Anfang des Monats beobachtet haben und die Angriffsfläche für Kriminelle attraktiv ist – insbesondere bei sogenannten „Edge Devices“, die am Rand eines Unternehmensnetzes stehen.
Was ist PAN-OS und warum betrifft es viele Organisationen?
PAN-OS ist das Betriebssystem von Palo Alto Networks und wird für Netzwerk-Sicherheitsfunktionen eingesetzt. Ein zentraler Einsatzbereich ist die Verwaltung von VPN-Verbindungen über GlobalProtect, also über Portal- und Gateway-Funktionen, die Anwendern den gesicherten Zugang zum internen Netzwerk ermöglichen.
Wenn Schwachstellen in solchen Komponenten ausgenutzt werden, kann das nicht nur einzelne Verbindungen betreffen, sondern potenziell das gesamte Vertrauensmodell zwischen dem VPN-Entry-Punkt und internen Zielsystemen.
Welche PAN-OS Sicherheitslücke wird ausgenutzt?
Im Fokus steht die Schwachstelle mit der Kennung CVE-2026-0257. Bewertet wurde sie mit einer CVSS-Score von 9,1 von 10, da sie – in Abhängigkeit von bestimmten Konfigurationen – zu unautorisierter Systemzugriffsberechtigung führen kann.
Der NCSC ordnet das als „sehr ernst“ ein. Das bedeutet: Unternehmen sollten nicht abwarten, sondern unmittelbar prüfen und handeln.
Wie funktioniert der Missbrauch über die VPN-Verbindung?
Laut der Warnung ermöglicht die Sicherheitslücke einem nicht authentifizierten Angreifer den Zugang zu internen Systemen. Entscheidend ist dabei, dass bestimmte Konfigurationsoptionen aktiviert sind.
Konkret nennt der NCSC zwei Voraussetzungen, die zusammenspielen:
- Es werden (HTTPS-)Zertifikate wiederverwendet.
- Zusätzlich ist eine Option zur „authentication override“ aktiviert – entweder „Generate cookie for authentication override“ oder „Accept cookie for authentication override“.
Nur wenn diese Bedingungen erfüllt sind, kann der Angriff den beschriebenen Effekt entfalten. Dennoch gilt: Da die Kombination besonders problematisch ist, sollten betroffene Umgebungen die Konfigurationen und Updates zeitnah überprüfen.
Aktuelle Lage: Bereits aktiver Einsatz und verfügbare Angriffsdetails
Der NCSC verweist darauf, dass die Ausnutzung nach Einschätzung von Rapid7 bereits seit 17. Mai aktiv erfolgt. Zudem gibt es eine öffentliche Proof-of-Concept-Implementierung, die die Angriffslogik beschreibt.
Das erhöht den Druck: Wenn konkrete Beispiele existieren, sinkt für Angreifer die Einstiegshürde, und es ist wahrscheinlicher, dass die Kampagnen zunehmen. Der NCSC erwartet daher, dass das Ausmaß des Missbrauchs in den kommenden Wochen steigen kann.
Welche Folgen drohen bei nicht behobener PAN-OS Sicherheitslücke?
Wenn Unternehmen die Schwachstelle nicht schließen, kann ein Angreifer über die VPN-Struktur auf interne Systeme zugreifen. Von dort aus sind häufig weitere Schritte möglich – je nachdem, welche Systeme und Rechte im Zielbereich vorhanden sind.
Mögliche Auswirkungen, die der NCSC nennt, sind unter anderem:
- Datenabflüsse (z. B. durch unautorisierte Zugriffsmöglichkeiten)
- Störung von Geschäftsprozessen
- Weitere Angriffe innerhalb des Netzwerks
Wichtig ist dabei: Auch wenn der Einstieg über einen VPN-Gateway erfolgt, kann der eigentliche Schaden in internen Umgebungen entstehen.
Welche Versionen sind betroffen?
Ob eine konkrete Installation verwundbar ist, hängt von der Version ab. Der NCSC empfiehlt, die Tabelle auf der Palo-Alto-Website zu konsultieren, um die betroffenen Releases zu identifizieren.
Gleichzeitig gibt die Warnung eine Entlastung: Cloud NGFW und Panorama gelten nicht als verwundbar.
Wenn Sie unsicher sind, welche Variante und welches Release Sie einsetzen, lassen Sie das am besten durch Ihre IT-Abteilung oder Ihren IT-Dienstleister prüfen.
Was sollten Sie jetzt konkret tun?
Die wichtigste Maßnahme ist, die von Palo Alto Networks bereitgestellten Security Updates zu installieren, die die Schwachstelle beheben. Der NCSC rät ausdrücklich dazu, diese Updates so schnell wie möglich einzuspielen – idealerweise priorisiert in betroffenen Umgebungen.
1) Version und Produktumfang prüfen
Stellen Sie zunächst sicher, welche PAN-OS-Versionen Sie betreiben und ob GlobalProtect Portal- oder Gateway-Komponenten im Einsatz sind. Nutzen Sie dazu die Versionstabellen des Herstellers.
2) Updates zeitnah einspielen
Planen Sie die Installation der Security Updates umgehend. Wenn Betriebsabläufe die Umsetzung erschweren, stimmen Sie den Zeitplan mit Ihrem Team und dem IT-Dienstleister ab, aber mit dem Ziel, die Zeit bis zur Behebung so kurz wie möglich zu halten.
3) Unterstützung für Update und Detektion einholen
Der NCSC weist zudem darauf hin, dass Rapid7 Indicators of Compromise (IoC) geteilt hat, die helfen können, Missbrauch zu erkennen. Wenn Sie keine eigenen Prozesse zur Suche nach solchen Spuren haben, holen Sie sich gezielte Hilfe – etwa beim IT-Dienstleister.
Parallel dazu kann es sinnvoll sein, Ihre Konfigurationen im Hinblick auf die genannten Bedingungen zu überprüfen (Zertifikatswiederverwendung sowie die „authentication override“-Cookie-Optionen). Die konkrete Abdeckung durch Updates ersetzt diese Prüfung nicht, kann aber zusätzliche Sicherheit geben.
Warum Edge-Geräte besonders im Fokus stehen
In der Warnung wird erklärt, dass Cyberkriminelle ein besonderes Interesse an Edge Devices haben. Gemeint sind Systeme, die an den Rand eines Unternehmensnetzwerks eingebunden sind und als Zugangspunkt dienen.
Gerade bei VPN-Gateways kann ein kompromittierter Entry-Punkt den Angreifern einen direkten und attraktiven Weg ins Innere eröffnen. Deshalb ist die Kombination aus hoher Schwere, aktiver Ausnutzung und realistischer Angriffsfläche besonders gefährlich.
Fazit: Jetzt handeln statt später reagieren
Die PAN-OS Sicherheitslücke CVE-2026-0257 wird aktuell missbraucht und kann – je nach Konfiguration – unautorisierte Zugriffe über VPN ermöglichen. Da die Schwachstelle als sehr kritisch bewertet wurde und bereits bekannte Angriffsansätze existieren, sollten Unternehmen nicht abwarten: Security Updates zeitnah installieren, die betroffenen Versionen prüfen und im Bedarfsfall IoC-gestützte Detektion gemeinsam mit dem IT-Dienstleister durchführen.
So reduzieren Sie das Risiko deutlich und schaffen schnell wieder stabile Sicherheit in Ihrem VPN-Zugangsprozess.
Quelle: https://www.ncsc.nl/alerts/actief-misbruik-kwetsbaarheid-in-palo-alto-networks-pan-os
