Eine bereits im Mai gepatchte Firewall-Lücke wird jetzt zum Einfallstor für einen der gefährlichsten Ransomware-Player: Die Qilin-Bande schlüpft über CVE-2026-0257 in Palo-Alto-VPNs — und zwar ganz ohne Zugangsdaten.
SO kommen die Angreifer rein
Die Schwachstelle steckt im GlobalProtect-Portal und -Gateway von Palo Alto Networks PAN-OS. Sie lässt sich ausnutzen, wenn Authentifizierungs-Override-Cookies zusammen mit bestimmten Zertifikatskonfigurationen aktiv sind. Das Ergebnis: Ein Angreifer aus dem Internet baut eine VPN-Sitzung ohne gültiges Passwort auf. Der CVSS-Wert liegt bei 7.8 — die realen Folgen sind deutlich schlimmer.
GEFAHR: Vom VPN zur kompletten Verschlüsselung
Die Sicherheitsforscher von Arctic Wolf Labs untersuchten mehrere Einbrüche und beschreiben die Kette im Detail: Nach dem VPN-Zugang lesen die Angreifer über LSASS-Dumping und NTDS-Extraktion Zugangsdaten aus, bewegen sich per PsExec und RDP seitlich durchs Netz und installieren Fernwartungstools wie AnyDesk, Ngrok und LogMeIn. In Doppel-Erpressungsfällen ziehen sie Daten per Rclone zu MEGA ab, löschen anschließend alle Windows-Ereignisprotokolle und verschlüsseln dann die Systeme mit Qilin.
Patch da — trotzdem GEFÄHRLICH
Palo Alto Networks hat die Lücke bereits am 13. Mai geschlossen. Rapid7 beobachtete aber ab dem 17. Mai aktive Angriffe gegen zahlreiche Kunden. Das Problem: Viele Firewalls hängen weiter ungepatcht am Netz — und genau die sind jetzt Qilins Lieblingsziel.
Deine CHECKLISTE
1. Prüfe deine PAN-OS-Version und spiele den Fix gegen CVE-2026-0257 ein, falls noch nicht geschehen. 2. Deaktiviere Auth-Override-Cookies, wenn du sie nicht zwingend brauchst, und überprüfe die Zertifikatskonfiguration. 3. Suche nach Anzeichen einer Kompromittierung: unbekannte VPN-Sitzungen, plötzlich installiertes AnyDesk/Ngrok/LogMeIn und gelöschte Event-Logs. 4. Rotiere Passwörter und aktiviere überall Multi-Faktor-Authentifizierung.
FAZIT
Ein alter Patch, den man verpasst hat, kann heute zur Vollverschlüsselung führen. Wer eine Palo-Alto-Firewall betreibt, sollte den Zustand seiner GlobalProtect-Konfiguration jetzt kontrollieren — nicht erst nach dem nächsten Erpresserbrief.