Wieder einmal trifft es die Firewall selbst: CVE-2026-0322 erlaubt es einem bereits angemeldeten Angreifer, über das Management-Interface von PAN-OS beliebigen Code mit Root-Rechten auszuführen. Die US-Behörde CISA hat die Lücke am 14. Oktober in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen — im selben Schub wie eine kritische Cisco-Lücke und zwei Ahsay-Backup-CVEs.
WAS GENAU PASSIERT
Palo Alto Networks beschreibt die Lücke nüchtern: Ein authentifizierter Angreifer mit Netzwerkzugang zum Management-Interface kann Code einschleusen und ihn mit Root-Rechten auf der Firewall selbst ausführen. Die Schwachstelle ist als CWE-94 (Code Injection) eingestuft, die Bewertung liegt bei CVSS 8,6 nach dem neuen CVSS-4.0-Maßstab.
Wichtig für die Einordnung: Der Angreifer braucht bereits einen gültigen Zugang — die Lücke ist also keine Tür, die komplett offensteht, sondern eine, durch die man nach dem ersten Schritt deutlich weiter kommt, als eigentlich vorgesehen.
BESTÄTIGT: Erste Angriffe laufen schon
Palo Alto Networks selbst stuft den Exploit-Status als „ATTACKED“ ein und schreibt, es seien „very limited“ Angriffe gegen das Management-Interface beobachtet worden. Das ist der Grund für die CISA-Aufnahme — nicht die Schwere allein, sondern der Nachweis echter Ausnutzung. Cloud NGFW und Prisma Access sind von dieser Lücke nicht betroffen, es geht ausschließlich um die klassischen PAN-OS-Firewalls.
WELCHE VERSIONEN BETROFFEN SIND
Die Liste ist lang, weil praktisch jede aktuelle PAN-OS-Linie unterhalb einer bestimmten Hotfix-Version anfällig ist:
- PAN-OS 12.2: vor 12.2.4
- PAN-OS 12.1: vor 12.1.4-h12 / 12.1.7-h8 / 12.1.10-h2 (je nach Zweig)
- PAN-OS 11.2: mehrere Bereiche bis vor 11.2.16
- PAN-OS 11.1: mehrere Bereiche bis vor 11.1.16-h3
- PAN-OS 10.2: mehrere Bereiche bis vor 10.2.18-h12
Wer unsicher ist, welcher Hotfix-Zweig zutrifft, findet die exakte Matrix im Palo-Alto-Sicherheitshinweis selbst — eine Pauschalaussage „alles unter Version X“ greift hier nicht.
SO ABSICHERN — in 5 MINUTEN
- Sofort-Maßnahme, falls Patchen nicht sofort geht: Zugriff auf das Management-Interface ausschließlich auf vertrauenswürdige interne IP-Adressen beschränken, idealerweise über eine dedizierte Jump-Box.
- Threat-Prevention aktivieren und die von Palo Alto genannten IDs 510046 und 510047 einschalten, falls eine Lizenz dafür vorhanden ist.
- Patchen auf die jeweilige Fix-Version der eigenen PAN-OS-Linie.
- Zertifikat für eingehenden Management-Traffic erneuern — Palo Alto empfiehlt das ausdrücklich als zusätzliche Absicherung nach dem Patch.
FAZIT: Das Management-Interface bleibt der Schwachpunkt
Es ist nicht das erste Mal, dass genau die Schnittstelle zum Problem wird, über die Admins ihre Firewall eigentlich verwalten sollen. Wer sein Palo-Alto-Management-Interface offen ins Internet hängt, weil das „schon immer so war“, sollte diesen Fall als Anlass nehmen, das endgültig zu ändern — unabhängig davon, wie schnell der Patch eingespielt wird.