PAN-OS: Root-Lücke CVE-2026-0300 aktiv ausgenutzt

Eine Root-Lücke in PAN-OS wird aktiv ausgenutzt. Ein unauthentifizierter Angreifer kann über speziell präparierte Pakete beliebigen Code mit Root-Rechten auf PA-Series- und VM-Series-Firewalls von Palo Alto Networks ausführen. Die als CVE-2026-0300 geführte Schwachstelle sitzt im User-ID Authentication Portal – dem sogenannten Captive Portal – und wird mit CVSS 9.3 bewertet. Der Hersteller hat am 6. Mai 2026 eine Advisory veröffentlicht, gepatchte PAN-OS-Versionen stehen bereit. Der Bericht, der die aktuelle Warnung ausgelöst hat, beschreibt trotzdem laufende Angriffe auf Palo-Alto-Firewalls.

Dabei bleibt eine Unschärfe: Welche der derzeit parallel kursierenden PAN-OS-Lücken in diesem Bericht konkret gemeint ist, lässt sich anhand der vorliegenden Informationen nicht sicher bestimmen. Technisch am besten dokumentiert und von zwei unabhängigen Analysen als aktiv ausgenutzt beschrieben ist CVE-2026-0300 – sie steht deshalb im Zentrum dieser Einordnung.

CVE-2026-0300: Was die Root-Lücke im Captive Portal ermöglicht

Der Fehler ist ein Buffer Overflow im User-ID Authentication Portal. Entscheidend ist die Kombination aus fehlender Authentifizierung und Root-Kontext: Wer das Portal aus dem Internet erreichen kann, braucht keine Zugangsdaten, sondern nur die passenden Pakete – und landet anschließend mit vollständigen Rechten auf dem System. Das umfasst Konfiguration, VPN-Verbindungen, den gesamten Traffic und die Protokolle der Firewall selbst. Ein Angreifer muss also nicht erst eine bestehende Sitzung übernehmen; die Firewall selbst wird zum Ziel.

Für die Expositionsbewertung sind die Ports 6081 und 6082 relevant. Nach Angaben von Wiz‘ Analyse zur in-the-wild-Ausnutzung identifizierte Shodan 67 exponierte PAN-OS-Systeme auf Port 6081 und keines auf Port 6082. Rund 7 Prozent der untersuchten Umgebungen betreiben demnach öffentlich erreichbare PAN-OS-Instanzen – die Dunkelziffer dürfte höher liegen, weil intern erreichbare Captive Portals in solchen Zählungen nicht auftauchen. Entwarnung gibt es nur für einen Teil des Portfolios: Prisma Access, Cloud NGFW und Panorama sind von CVE-2026-0300 nicht betroffen.

Shellcode im nginx-Worker und gezielt gelöschte Logs

Die Post-Exploitation ist der unangenehmere Teil. Unit 42s Threat Brief zur Zero-Day-Ausnutzung dokumentiert, dass nach erfolgreicher Ausnutzung Shellcode in einen nginx-Worker-Prozess injiziert wurde. Anschließend löschten die Angreifer Spuren: Crash-Kernel-Meldungen, nginx-Crash-Einträge und Core Dumps fehlten. Später folgten der Deploy der Tools EarthWorm und ReverseSocks5 sowie eine Active-Directory-Enumeration – ausgeführt mit Credentials eines Firewall-Service-Accounts.

Unit 42 ordnet die Aktivitäten dem Cluster CL-STA-1132 zu und hält eine staatliche Unterstützung für wahrscheinlich. Das ist die Einschätzung eines Hersteller-Teams, keine unabhängig bestätigte Attribution; entsprechend sollten Formulierungen zur Urheberschaft mit dieser Einschränkung gelesen werden. Technisch bedeutsamer ist ohnehin ein anderer Punkt: Wer die Firewall als Service-Account nutzt, um die Domäne zu durchsuchen, hat die Perimeter-Kontrolle bereits umgangen. Eine Firewall ist der Vertrauensanker eines Netzes – Root-Rechte darauf entwerten Segmentierung und VPN-Kontrollen gleichzeitig. Erschwerend kommt hinzu, dass genau die Logs fehlen, mit denen sich der Vorfall sonst rekonstruieren ließe.

CVE-2026-0257, CVE-2026-0287, CVE-2026-0310: mehrere Baustellen gleichzeitig

Die Root-Lücke ist nicht der einzige offene Punkt. Der Threat Brief zur Ausnutzung von CVE-2026-0257 beschreibt einen Authentication Bypass in den Portal- und Gateway-Komponenten von GlobalProtect. Angreifer umgehen damit Sicherheitskontrollen und bauen VPN-Verbindungen auf. Die Lücke wurde am 29. Mai in den KEV-Katalog aufgenommen, die Unit-42-Publikation folgte am 9. Juni 2026. Bis dahin war keine Post-Access-Aktivität und kein Lateral Movement feststellbar – veröffentlicht wurden jedoch IOC-IP-Listen und verdächtige Host- und MAC-Namen wie 23.128.228[.]6 und WINDOWS-LAPTOP-001.

Hinzu kommt CVE-2026-0287: Mehrfache Denial-of-Service-Schwachstellen, bei denen ein unauthentifizierter Angreifer mit Netzwerkzugriff per präpariertem Traffic zuschlagen kann. Die offizielle Advisory zu CVE-2026-0287 führt betroffene und gefixte Versionen sowie Workarounds; die im vorliegenden Material verfügbare Zusammenfassung ist an dieser Stelle unvollständig. Und schließlich nennt eine weitere Analyse zu CVE-2026-0310 eine Root-Codeausführungslücke mit CVSS 9.2 auf PA-Series – sie ist die einzige Quelle, die diese Zuordnung so trifft.

Die praktische Konsequenz aus dieser Gemengelage: Ein Patch, der nur eine der Lücken schließt, reicht nicht. Betreiber müssen ihre installierte PAN-OS-Version gegen die jeweils aktuelle Liste der betroffenen und gefixten Releases abgleichen. Konkrete Versionsnummern und Workaround-Details sind hier bewusst nicht genannt – sie gehören verbindlich aus der Hersteller-Advisory übernommen und nicht aus Sekundärquellen rekonstruiert.

Handlungsempfehlung: Exponierung prüfen, patchen, IOCs suchen

Für Firewall-Betreiber ergibt sich eine klare Reihenfolge:

1. Exponierung feststellen. Ist das User-ID Authentication Portal aus dem Internet oder aus weniger vertrauenswürdigen Netzen erreichbar? Die Ports 6081 und 6082 sind der erste Prüfpunkt. Wer das Portal nicht braucht, sollte es nicht erreichbar halten.
2. Version prüfen und patchen. Installierte PAN-OS-Version mit der Hersteller-Advisory abgleichen und auf einen gefixten Release wechseln. Workarounds sind nur eine Überbrückung, kein Ersatz für den Patch.
3. Auf Spuren der Post-Exploitation prüfen. Fehlende Crash-Logs, Core Dumps oder nginx-Einträge sind ein Warnsignal, kein Betriebsrauschen. Zusätzlich lohnt die Suche nach den zu CVE-2026-0257 veröffentlichten IOCs.
4. Von Kompromittierung ausgehen, wenn Ausnutzung plausibel ist. Root-Zugriff auf der Firewall bedeutet vollständige Kontrolle. Betroffene Systeme sollten nicht nur gepatcht, sondern als potenziell kompromittiert behandelt werden – inklusive Rotation der Firewall-Service-Account-Credentials und einer Durchsicht der Active-Directory-Aktivitäten.
5. Patch-Zyklus verkürzen. Zwei aktiv ausgenutzte Lücken innerhalb weniger Wochen sind ein Argument dafür, den Zeitraum zwischen Veröffentlichung und Einspielen zu halbieren.

Fazit

CVE-2026-0300 ist kein theoretisches Risiko: Die Lücke ist unauthentifiziert ausnutzbar, führt direkt zu Root-Rechten und wird bereits angegriffen. Die größte Gefahr liegt weniger im Patch selbst als in der Sorgfalt danach – wer die Firewall aktualisiert, aber Service-Account-Credentials stehen lässt und keine Logs auswertet, hat nur die halbe Arbeit erledigt. Die parallelen Lücken CVE-2026-0257 und CVE-2026-0287 sollten im selben Wartungsfenster adressiert werden, nicht im nächsten.

Quellen

1. PAN-OS: Schadcode schlüpft durch Root-Lücke in Palo-Alto-Firewalls
2. Unit 42 – Threat Brief: Exploitation of PAN-OS Captive Portal Zero-Day (CVE-2026-0300)
3. Wiz – Critical Buffer Overflow Vulnerability in PAN-OS Exploited in-the-Wild (CVE-2026-0300)
4. Unit 42 – Threat Brief: Active Exploitation of PAN-OS CVE-2026-0257
5. Palo Alto Networks Security Advisory – CVE-2026-0287 (PAN-OS DoS)