Palo Alto PAN-OS: Lücke in der Verwaltungsoberfläche verschafft Root-Rechte auf Firewalls und wird bereits ausgenutzt

Palo Alto Networks hat CVE-2026-0322 behoben, eine Lücke in der Verwaltungsoberfläche von PAN-OS, über die ein angemeldeter Administrator Code als root auf Firewalls der PA- und VM-Serie sowie auf Panorama ausführen kann. Der Hersteller beobachtete eine begrenzte Ausnutzung; CISA setzte US-Behörden eine Frist bis zum 17. Oktober.

Was geschah

Am 14. Oktober 2026 veröffentlichte Palo Alto Networks einen Hinweis zu CVE-2026-0322 (CVSS 4.0: 8,6), einer Code-Injection in der Web-Verwaltungsoberfläche von PAN-OS. Wer diese Oberfläche erreicht und über ein Konto mit hohen Rechten verfügt, kann beliebigen Code mit root-Rechten auf dem Gerät ausführen. Der Hersteller spricht von einer sehr begrenzten Ausnutzung und nennt drei IP-Adressen, die mit den Angriffen in Verbindung stehen. CISA nahm die Lücke am selben Tag in ihren Katalog ausgenutzter Schwachstellen auf, mit einer Frist bis zum 17. Oktober für US-Bundesbehörden; CERT-FR griff sie am 15. Oktober auf.

Wer betroffen ist

Firewalls der PA- und VM-Serie sowie Panorama (virtuell und M-Serie) mit PAN-OS 10.2, 11.1, 11.2, 12.1 oder 12.2 vor den korrigierten Versionen. Cloud NGFW und Prisma Access sind nicht betroffen. Eine Anmeldung ist zwar nötig, doch gestohlene oder mehrfach verwendete Admin-Passwörter sind bei Firewalls mit aus dem Internet erreichbarer Verwaltungsseite keine Seltenheit.

Was jetzt zu tun ist

1. Version prüfen mit show system info in der CLI und mit der Tabelle des Herstellers abgleichen.
2. Aktualisieren: 12.2.4; 12.1.4-h12, 12.1.7-h8 oder 12.1.10-h2; 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 oder 11.2.16; 11.1.16-h3 oder den für Ihre 11.1-Version genannten Hotfix; 10.2.18-h12 oder den für Ihre 10.2-Version genannten Hotfix. Nicht mehr unterstützte Versionen müssen auf einen korrigierten, unterstützten Zweig wechseln.
3. Verwaltungsoberfläche abschotten: kein Zugriff aus dem Internet, nur wenige vertrauenswürdige interne Adressen. Das ist die vom Hersteller hervorgehobene Maßnahme, denn einen Workaround gibt es nicht.
4. Nach Spuren suchen: Protokolle auf Verbindungen von 66.42.72[.]14, 208.83.239[.]114 und 149.248.47[.]234 prüfen, Admin-Anmeldungen und Konfigurationsänderungen kontrollieren und Admin-Passwörter erneuern.
5. Mit Threat-Prevention-Abo die Threat-IDs 510046 und 510047 aktivieren, die laut Hersteller nur teilweise schützen.

Unsere Einschätzung

Eine von überall erreichbare Admin-Seite macht aus jedem geleakten Passwort Root-Zugriff auf das Gerät, das das gesamte Netz schützt. Verwaltungsoberflächen gehören in ein eigenes Netz oder hinter ein VPN, mit Mehrfaktor-Authentifizierung und einer Warnung bei jeder neuen Admin-Sitzung.

Quellen

• Palo Alto Networks — CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface
• CERT-FR — Multiples vulnérabilités dans les produits Palo Alto Networks (CERTFR-2026-AVI-1326)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-0322
• The Hacker News — Palo Alto Networks Patches PAN-OS Authenticated RCE Flaw Amid Active Exploitation

Wie wir unsere Analysen auswählen, prüfen und schreiben →