Palo Alto PAN-OS: Zero-Day CVE-2026-0300 erlaubt Root-Zugriff

Eine Schwachstelle in PAN-OS erlaubt Angreifern die vollständige Übernahme von Palo-Alto-Firewalls: CVE-2026-0300 ist ein Pufferüberlauf im User-ID-Authentication-Portal, über den sich ohne Anmeldung beliebiger Code mit Root-Rechten ausführen lässt. Betroffen sind Firewalls der PA-Series und der VM-Series — vorausgesetzt, das Captive Portal ist aktiviert und aus einem nicht vertrauenswürdigen Netz erreichbar. Der Hersteller bestätigt bereits eine begrenzte Zahl aktiver Angriffe.

CVE-2026-0300: Pufferüberlauf im Captive Portal

Technisch handelt es sich um einen Out-of-Bounds-Write (CWE-787), konkret um einen stackbasierten Pufferüberlauf (CAPEC-100). Eine staatliche Warnmeldung aus Belgien bestätigt unabhängig, dass nicht authentifizierte Angreifer über diese Lücke Code mit Root-Rechten auf PA-Series- und VM-Series-Systemen ausführen können.

Der Angriffsvektor ist netzwerkbasiert, die Angriffskomplexität gilt als gering. Weder Zugangsdaten noch eine Interaktion durch Benutzer sind nötig, der Angriff lässt sich vollständig automatisieren — damit eignet er sich für breit gestreute Scan- und Exploit-Wellen, nicht nur für gezielte Einzelangriffe. Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden als vollständig beschrieben: Wer die Lücke erfolgreich ausnutzt, kontrolliert das Gerät komplett.

Ein CVSS-Score für CVE-2026-0300 ist im vorliegenden Material nicht angegeben. Wer den Schweregrad in eine interne Risikobewertung übernehmen will, muss ihn direkt am Hersteller-Advisory prüfen — schätzen sollte ihn niemand.

Welche Firewalls wirklich gefährdet sind

Nicht jede PAN-OS-Installation ist automatisch angreifbar. Zwei Bedingungen müssen zusammenkommen: Das User-ID-Authentifizierungsportal (Captive Portal) muss aktiviert sein — im Transparent- oder Umleitungsmodus — und ein Schnittstellenverwaltungsprofil mit aktivierten Antwortseiten muss einer extern erreichbaren Netzwerkschnittstelle zugewiesen sein. Genau diese Kombination macht ein Gerät angreifbar.

Praktisch betrifft das vor allem Perimeter-Geräte mit Gäste- oder Hotspot-Funktion. Wer sein Captive Portal ausschließlich intern oder gar nicht betreibt, senkt das Risiko erheblich — die Prüfung der eigenen Konfiguration ersetzt das aber nicht.

Ausdrücklich nicht betroffen sind laut Hersteller Prisma Access, Cloud NGFW und Panorama-Appliances. Wer ausschließlich diese Produkte einsetzt, muss für CVE-2026-0300 nichts unternehmen.

Begrenzte Ausnutzung, Zuordnung zu CL-STA-1132

Palo Alto Networks spricht von „only limited exploitation". Die Aktivität wird als Cluster CL-STA-1132 verfolgt und wahrscheinlich staatlich gesponserter Bedrohungsaktivität zugeordnet. Das ist eine Einschätzung des Herstellers, keine unabhängig bestätigte Attribution — wer daraus politische Schlüsse zieht, sollte die Unsicherheit mitlesen.

Der beschriebene Ablauf beginnt am 9. April 2026 mit erfolglosen Ausnutzungsversuchen. Rund eine Woche später gelingt die Remote-Codeausführung, Shellcode wird in einen nginx-Worker-Prozess eingeschleust, unmittelbar danach setzt die Log-Bereinigung ein. Zu den TTPs gehören Tunnel-Tools (EarthWorm, ReverseSocks5), Active-Directory-Enumeration und systematisches Aufräumen von Logs. Diese Beobachtungen beruhen auf einer Quelle und sind nicht durch unabhängige Berichte gegengeprüft.

Patch-Fenster und Erkennung per Threat-ID

Die Korrekturen stellt Palo Alto Networks nach dem dokumentierten Zeitplan zwischen dem 13. und 28. Mai 2026 in neuen PAN-OS-Versionsständen bereit. Die genaue Liste der betroffenen und gefixten Versionen sollte vor dem Rollout direkt am Hersteller-Advisory abgeglichen werden. Zu den Sofortmaßnahmen gehören das Deaktivieren des Portals, das Einschränken der externen Erreichbarkeit und die Prüfung des Schnittstellenverwaltungsprofils.

Für den Erkennungsweg ist eine Signatur hinterlegt, die über ein Inhaltspaket ausgerollt wird; die Threat-ID lautet 510019. Wer sein Gerät nicht zeitnah patchen kann, hat damit zumindest eine Chance, Ausnutzungsversuche im Log zu sehen — ein Ersatz für den Patch ist das nicht.

Wiederkehrendes Muster bei PAN-OS

CVE-2026-0300 ist kein Einzelfall, sondern fügt sich in eine Reihe von Perimeter-Schwachstellen. Bereits im April 2024 war PAN-OS mit CVE-2024-3400 von einer weiteren Zero-Day betroffen. Im November 2024 zielten Angreifer auf die Verwaltungsschnittstellen von PAN-OS-Firewalls; die Kampagne „Lunar Peek" nutzte die Lücken CVE-2024-0012 und CVE-2024-9474. Beide Fälle sind historische Vergleiche: Sie zeigen, dass die Perimeter-Verwaltung von Firewalls bei Angreifern dauerhaft auf der Liste steht — belegen aber nichts für die aktuelle Lage.

Zur Abgrenzung: Die teils kursierende CVE-2026-0310 betrifft die XML-Verarbeitung, wird mit CVSS 9,2 bewertet und führt bei VM-Series lediglich zu Abstürzen. Sie hat mit CVE-2026-0300 nichts zu tun und darf nicht damit vermischt werden.

Fazit: Prüfen, einschränken, patchen

Für Administratoren ergibt sich eine klare Reihenfolge: zuerst prüfen, ob das Captive Portal aktiv ist und ob ein Schnittstellenverwaltungsprofil mit Antwortseiten auf einer extern erreichbaren Schnittstelle liegt. Danach die externe Erreichbarkeit so weit wie möglich reduzieren, anschließend im Fenster vom 13. bis 28. Mai patchen und parallel die Threat-ID 510019 ausrollen. Bei begründetem Verdacht auf eine Kompromittierung gehören nginx-Worker-Prozesse, eingehende Tunnel-Tools und die Log-Historie auf den Prüfstand — auffällig ist, dass die Angreifer Spuren aktiv entfernen.

Offen bleibt die zeitliche Einordnung: Der Hersteller-Advisory datiert auf den 6. Mai 2026, der auslösende Bericht auf den 15. Oktober 2026. Ob es sich um Nachberichterstattung, ein aktualisiertes Advisory oder eine neue Ausnutzungswelle handelt, lässt sich mit dem vorliegenden Material nicht klären.

Quellen