PAN-OS CVE-2026-0257: GlobalProtect aktiv ausgenutzt

Es ist der Albtraum jedes Admins: Eine Lücke direkt im VPN-Tor deiner Firewall – und Angreifer sind schon drin. Genau das passiert gerade bei Palo Alto Networks. Die Schwachstelle CVE-2026-0257 in PAN-OS und Prisma Access wird aktiv ausgenutzt. Und die US-Cybersicherheitsbehörde CISA hat Behörden eine Frist gesetzt, die heute, am 1. Juni, abläuft.

GEFAHR: Hacker schlüpfen am Login vorbei

Die Lücke ist ein sogenannter Authentication Bypass. Im Klartext: Angreifer können sich an der Anmeldung vorbeimogeln. Laut Palo Alto lässt sich über GlobalProtect-Portal und -Gateway eine unautorisierte VPN-Verbindung aufbauen – ganz ohne gültige Zugangsdaten.

Wer so eine Verbindung herstellt, sitzt plötzlich mitten in deinem Netzwerk. Von dort aus ist der Weg zu Servern, Backups und sensiblen Daten kurz.

Warum die CISA-Frist so wichtig ist

Die CISA hat CVE-2026-0257 in ihren Known-Exploited-Vulnerabilities-Katalog (KEV) aufgenommen. Dieser Katalog ist quasi die Fahndungsliste für Lücken, die nachweislich angegriffen werden. US-Behörden müssen solche Lücken bis zu einem Stichtag schließen – hier ist der Stichtag der 1. Juni 2026.

Für dich als privaten oder Firmen-Admin gilt: Wenn selbst Behörden zur Eile gezwungen werden, solltest du nicht warten.

So schützt du dich in 5 Minuten

1. Update einspielen: Installiere den von Palo Alto bereitgestellten PAN-OS-Hotfix für deine Version. Die fehlerbereinigten Releases stehen im Support-Portal bereit.

2. Logs prüfen: Schau in den GlobalProtect-Verbindungsprotokollen nach Sitzungen, die du nicht zuordnen kannst.

3. Exposition senken: Schränke ein, von welchen IP-Bereichen das Portal überhaupt erreichbar ist – das verkleinert die Angriffsfläche sofort.

Häufige Fragen

Welche Produkte sind betroffen?

Betroffen sind PAN-OS-Firewalls mit aktivem GlobalProtect-Portal oder -Gateway sowie der Cloud-Dienst Prisma Access. Die genauen verwundbaren Versionsstände nennt Palo Alto im Security-Advisory – prüfe dort gegen deine installierte Version.

Wie merke ich, ob ich schon angegriffen wurde?

Achte in den GlobalProtect-Logs auf VPN-Sitzungen ohne passenden Nutzer oder von unbekannten IP-Adressen. Auffällige Verbindungen außerhalb deiner üblichen Standorte sind ein Warnsignal.

Reicht eine Firewall-Regel als Schutz?

Eine Zugriffsbeschränkung auf bekannte IP-Bereiche reduziert das Risiko, ersetzt aber nicht den Patch. Nur das Update schließt die eigentliche Lücke – alles andere ist Schadensbegrenzung.

Gab es schon echte Angriffe?

Ja. Palo Alto und die CISA bestätigen, dass die Schwachstelle aktiv ausgenutzt wird. Genau deshalb steht sie im KEV-Katalog mit fester Frist.

Quellen: The Hacker News – Vulnerability News · CISA Known Exploited Vulnerabilities Catalog · Threat-Modeling.com – Vulnerability Intelligence Report 31.05.2026

FIREWALL-NOTSTAND! Palo-Alto-Lücke wird JETZT ausgenutzt — und die CISA-Frist läuft HEUTE ab