PAN-OS: Schadcode schlüpft durch Root-Lücke in Palo-Alto-Firewalls

Wenn die Voraussetzungen stimmen, nutzen Angreifer derzeit eine Sicherheitslücke in PAN-OS aus und attackieren so Firewalls von Palo Alto mit Schadcode. Sicherheitspatches stehen zum Download bereit.

Die Schwachstelle

In einer Warnmeldung führen die Entwickler aus, dass Angreifer für eine Attacke authentifiziert sein müssen und Netzwerkzugriff benötigen. Ist das gegeben, können sie Schadcode mit Root-Rechten ausführen. Die Lücke (CVE-2026-0322) ist mit dem Bedrohungsgrad „hoch“ eingestuft.

Die Schwachstelle steckt der knappen Beschreibung zufolge im Management-Interface von PAN-OS. Betroffen sind Firewalls der PA- und VM-Serie sowie Panorama, Cloud NGFW und Prisma Access hingegen nicht. Unklar ist zurzeit, wie solche Attacken genau ablaufen. Palo Alto zufolge wurden bislang nur sehr wenige Angriffe beobachtet. Die US-Cybersicherheitsbehörde CISA hat die Lücke dennoch in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.

Workarounds gibt es nicht. Admins sollten den Zugriff auf das Management-Interface aber auf vertrauenswürdige interne IP-Adressen beschränken. Kunden mit Threat-Prevention-Abo können über die Threat-IDs 510046 und 510047 einen eingeschränkten Schutz aktivieren, der SSL-Decryption voraussetzt. Die Entwickler versichern, die Schwachstelle in den folgenden Versionen geschlossen zu haben:

• 12.2.4
• 12.1.4-h12
• 12.1.7-h8
• 12.1.10-h2
• 11.2.4-h22
• 11.2.7-h21
• 11.2.10-h15
• 11.2.13-h3
• 11.2.16 (angekündigt für den 15. Oktober)
• 11.1.4-h37
• 11.1.6-h39
• 11.1.7-h11
• 11.1.10-h35
• 11.1.13-h15
• 11.1.16-h3
• 10.2.7-h38
• 10.2.10-h41
• 10.2.13-h26
• 10.2.16-h11
• 10.2.18-h12