CVE-2026-0257
Palo Alto Networks PAN-OS Authentication Bypass Vulnerability
Beschreibung
CVE-2026-0257 ist eine Authentifizierungsumgehung im GlobalProtect-Portal und -Gateway der Software Palo Alto Networks PAN-OS, die es einem Angreifer erlaubt, Sicherheitsbeschränkungen zu umgehen und eine unautorisierte VPN-Verbindung aufzubauen. Die zugrunde liegende Schwachstelle ist das Vertrauen auf Cookies ohne Validierung und Integritätsprüfung: Ein clientseitiger Wert, den das Portal als Nachweis einer abgeschlossenen Authentifizierung behandelt, kann vom Angreifer geliefert oder verändert werden, statt tatsächlich erworben zu werden. Die Bewertung liegt bei CVSS 9.1 (Kritisch), der EPSS-Wert bei 94 % und damit im 99,8. Perzentil aller CVEs — diese PAN-OS-Schwachstelle gehört zu den am wahrscheinlichsten ausgenutzten Lücken im CISA-Bestand, und der KEV-Eintrag verzeichnet den bekannten Einsatz in Ransomware-Kampagnen, wodurch ein unautorisierter VPN-Tunnel zu einem dokumentierten Ransomware-Einstiegsweg wird. Panorama und Cloud NGFW sind nicht betroffen. Die CISA-Behebungsfrist war der 01.06.2026; jede Firewall mit betroffener PAN-OS-Version ist damit überfällig und einer Bedrohung ausgesetzt, die nicht mit dem Einbruch endet, sondern mit Verschlüsselung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| paloaltonetworks | pan-os | < 10.2.7; 10.2.7; 10.2.8; 10.2.9; 10.2.10; 10.2.11; 10.2.12; 10.2.13; 10.2.14; 10.2.15; 10.2.16; 10.2.17; 10.2.18; 11.1.0; 11.1.1; 11.1.2; 11.1.3; 11.1.4; 11.1.5; 11.1.6; 11.1.7; 11.1.8; 11.1.9; 11.1.10; 11.1.11; 11.1.12; 11.1.13; 11.1.14; 11.2.0; 11.2.1; 11.2.2; 11.2.3; 11.2.4; 11.2.5; 11.2.6; 11.2.7; 11.2.8; 11.2.9; 11.2.10; 11.2.11; 12.1.2; 12.1.3; 12.1.4; 12.1.5; 12.1.6 |
| paloaltonetworks | prisma access | - |
| siemens | ruggedcom ape1808 firmware | - |
Referenzen
- https://security.paloaltonetworks.com/CVE-2026-0257(Vendor Advisory)
- https://cert-portal.siemens.com/productcert/html/ssa-967325.html(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-0257(US Government Resource)
Schwachstellentyp
CWE-565: Vertrauen auf Cookies ohne Validierung und Integritätsprüfung
Vertrauen auf Cookies ohne Validierung und Integritätsprüfung tritt auf, wenn eine Anwendung eine sicherheitskritische Entscheidung von der Existenz, dem Format oder dem Wert eines Cookies abhängig macht, ohne zu prüfen, ob dieser Wert legitim und unverändert ist. Cookies liegen beim Client und können mit einem Proxy oder einem skriptgesteuerten HTTP-Client gelesen, verändert oder gefälscht werden: Im GlobalProtect-Portal und -Gateway von PAN-OS kann ein Angreifer, der den relevanten Cookie-Wert kontrolliert, den Anschein einer authentifizierten Sitzung erzeugen und eine VPN-Verbindung erhalten, die die Authentifizierungslogik nie gewährt hat.
Mehr erfahren: CWE-565 — Vertrauen auf Cookies ohne Validierung und Integritätsprüfung
Auswirkungsanalyse
CVE-2026-0257 hat einen CVSS-3.1-Basiswert von 9.1 (Kritisch): aus der Ferne ohne physischen Zugriff ausnutzbar, leicht auszunutzen ohne besondere Voraussetzungen, ohne Authentifizierung und ohne Benutzerinteraktion. Vertraulichkeit (Hoch): Eine unautorisierte VPN-Verbindung setzt den Angreifer innerhalb des Netzwerkperimeters ab, mit dem Zugriff, den der Tunnel gewährt — typischerweise interne Dateifreigaben, Verzeichnisdienste und Management-Schnittstellen. Integrität (Hoch): Aus dem Tunnel heraus kann der Angreifer direkt mit internen Systemen interagieren, und die Umgehung untergräbt zugleich die Zugriffsentscheidungen, die die Firewall durchsetzen soll. Verfügbarkeit (Keine): Die Lücke selbst hindert die Firewall nicht am Betrieb, was ein Angreifer nach dem Eindringen tut, sehr wohl. Mit einem EPSS-Wert von 94 % ist Ausnutzungsaktivität praktisch sicher und nicht bloß wahrscheinlich, und das KEV-Ransomware-Kennzeichen bestätigt das bei VPN-Gateways wiederholt beobachtete Muster: Erstzugang über das Gerät, Sammeln von Zugangsdaten, Lateralbewegung, dann Verschlüsselung. Die geschäftliche Auswirkung beschränkt sich damit nicht auf die Firewall, sondern umfasst die gesamte Umgebung dahinter — erreicht über einen Kanal, dem das Sicherheitsmonitoring eher vertraut, weil er wie eine legitime Remote-Access-Sitzung aussieht.
Exploit-Reifegrad
CVE-2026-0257 liegt bei jedem verfügbaren Ausnutzungsindikator an der Spitze: Der EPSS-Wert von 93,9 % (99,835. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität, CISA führt die CVE mit Frist 01.06.2026 im Katalog der Known Exploited Vulnerabilities, und der KEV-Eintrag kennzeichnet sie als bekannt aus Ransomware-Kampagnen — eine Verschärfung gegenüber dem früheren Stand und der Grund, warum diese Schwachstelle Vorrang vor höher bewerteten CVEs ohne dieses Kennzeichen verdient. In den vorliegenden Referenzen ist kein öffentlicher Exploit-Code verlinkt; veröffentlicht sind das Security Advisory von Palo Alto Networks, das Siemens-Advisory SSA-967325 für die Plattform RUGGEDCOM APE1808 und der CISA-KEV-Eintrag. Cookie-basierte Authentifizierungsumgehungen sind nach dem Verständnis des Mechanismus trivial reproduzierbar und benötigen nur einen HTTP-Client statt Exploit-Werkzeug, was zum nahezu maximalen EPSS-Wert passt. Jedes betroffene PAN-OS-Gerät mit exponiertem GlobalProtect sollte als laufender Vorfall behandelt werden: patchen und anschließend nach unautorisierten Tunneln suchen, statt anzunehmen, der Patch sei rechtzeitig gekommen.
Behebung
- Befolgen Sie die von CISA im KEV-Katalog geforderte Maßnahme: Mitigationen gemäß Herstelleranweisungen anwenden, für Cloud-Dienste die einschlägigen BOD-22-01-Vorgaben befolgen oder den Einsatz des Produkts einstellen, falls keine Mitigationen verfügbar sind. Die Frist vom 01.06.2026 ist verstrichen, die Behebung ist auf jedem betroffenen Gerät überfällig.
- Aktualisieren Sie PAN-OS auf ein korrigiertes Release gemäß dem Advisory von Palo Alto Networks zu CVE-2026-0257. Betroffen sind PAN-OS vor 10.2.7 sowie die Maintenance-Releases 10.2.7 bis 10.2.18, 11.1.0 bis 11.1.14, 11.2.0 bis 11.2.11 und 12.1.2 bis 12.1.6; Prisma Access ist ebenfalls als betroffen gelistet, während Panorama und Cloud NGFW nicht betroffen sind.
- Handelt es sich bei der Firewall um eine Siemens RUGGEDCOM APE1808, die PAN-OS als gehostete Anwendung betreibt, befolgen Sie zusätzlich die Hinweise im Siemens-Advisory SSA-967325, da das Patchen dieser Plattform neben dem PAN-OS-Release auch den Siemens-Update-Pfad einbezieht.
- Gehen Sie davon aus, dass jedes internetseitige GlobalProtect-Portal mit betroffener Version für Angreifer erreichbar war, und handeln Sie entsprechend: GlobalProtect-Authentifizierungs- und Sitzungslogs auf Tunnel ohne zugehöriges erfolgreiches Authentifizierungsereignis prüfen, auf unbekannte Quelladressen und unmögliche Geolokationen achten, VPN-zugewiesene IP-Adressen gegen interne Verkehrslogs abgleichen und Zugangsdaten für Konten rotieren, deren Sitzungen sich nicht erklären lassen. Prüfen Sie angesichts des Ransomware-Bezugs vorrangig, dass Backups offline liegen und wiederherstellbar sind.
- Zur langfristigen Härtung gegen CWE-565: Lassen Sie niemals ein clientseitiges Cookie allein eine Sicherheitsentscheidung tragen — Sitzungszustand serverseitig hinter einer opaken Kennung halten, in Cookies mitgeführte Daten mit HMAC oder authentifizierter Verschlüsselung schützen, damit Manipulation erkennbar ist, und jeden Cookie-Wert gegen serverseitig gehaltenen Zustand validieren. Schalten Sie zudem Mehr-Faktor-Authentifizierung vor GlobalProtect, damit die Umgehung eines Gates nicht schon Netzwerkzugriff bedeutet.
Technische Details
Der Mechanismus von CVE-2026-0257 ist, dass GlobalProtect-Portal und -Gateway in PAN-OS eine Authentifizierungsentscheidung auf Basis eines Cookies treffen, dessen Gültigkeit und Integrität nicht geprüft werden (CWE-565). Da Cookies vom Client gespeichert und übertragen werden, kann ein Angreifer mit einem Proxy oder einem eigenen HTTP-Client den Wert setzen oder verändern, den das Portal ausliest; weil der Server nicht bestätigt, dass dieser Wert einem echten, serverseitig gehaltenen Sitzungszustand entspricht, besteht die Prüfung, und eine VPN-Verbindung wird aufgebaut, ohne dass der Angreifer je gültige Zugangsdaten vorgelegt hat. Der Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N spiegelt das präzise: Der Angriff kommt über das Netzwerk (AV:N) mit niedriger Komplexität (AC:L), ohne Rechte (PR:N) und ohne Benutzerinteraktion (UI:N), mit hoher Auswirkung auf Vertraulichkeit und Integrität und keiner auf die Verfügbarkeit. Der Scope bleibt in CVSS-Begriffen unverändert (S:U), weil die Umgehung die Zugriffskontrolle der Firewall selbst betrifft — die praktische Folge, ein Tunnel in das geschützte Netz, reicht jedoch weit über das Gerät hinaus. Die betroffene Fläche umfasst die PAN-OS-Zweige 10.2, 11.1, 11.2 und 12.1 sowie Prisma Access, ausgenommen sind Panorama und Cloud NGFW.
Häufig gestellte Fragen
Wird CVE-2026-0257 aktiv ausgenutzt?
Ja, und die Lücke wird in Ransomware-Angriffen eingesetzt. CVE-2026-0257 steht mit Behebungsfrist 01.06.2026 im CISA-Katalog der Known Exploited Vulnerabilities, und der KEV-Eintrag verzeichnet den bekannten Einsatz in Ransomware-Kampagnen. Der EPSS-Wert von 93,9 % entspricht dem 99,8. Perzentil aller CVEs und deutet auf nahezu sichere, laufende Ausnutzungsaktivität hin.
Welche Produkte sind von CVE-2026-0257 betroffen?
Betroffen sind das GlobalProtect-Portal und -Gateway in Palo Alto Networks PAN-OS, konkret Versionen vor 10.2.7 sowie 10.2.7 bis 10.2.18, 11.1.0 bis 11.1.14, 11.2.0 bis 11.2.11 und 12.1.2 bis 12.1.6, zusätzlich Prisma Access. Die Firmware der Siemens RUGGEDCOM APE1808 ist als betroffen gelistet, weil sie PAN-OS hostet; Panorama und Cloud NGFW sind nicht betroffen.
Wie behebe ich CVE-2026-0257?
Aktualisieren Sie PAN-OS auf ein korrigiertes Release aus dem Advisory von Palo Alto Networks zu CVE-2026-0257 und befolgen Sie für RUGGEDCOM-APE1808-Installationen zusätzlich das Siemens-Advisory SSA-967325. Da die Lücke unautorisierten VPN-Zugriff liefert und mit Ransomware verknüpft ist, sollten Sie außerdem GlobalProtect-Sitzungslogs auf Tunnel ohne zugehörige Authentifizierungsereignisse prüfen, Zugangsdaten für unerklärte Sitzungen rotieren und die Wiederherstellbarkeit von Offline-Backups bestätigen.
Wie schwerwiegend ist CVE-2026-0257?
CVE-2026-0257 ist mit einem CVSS-3.1-Basiswert von 9.1 als Kritisch eingestuft, was nicht authentifizierte Ausnutzung aus der Ferne mit hoher Auswirkung auf Vertraulichkeit und Integrität widerspiegelt. Der EPSS-Wert von 93,9 % liegt im 99,8. Perzentil, und das KEV-Ransomware-Kennzeichen belegt, dass reale Erpressungskampagnen diese Umgehung nutzen — in der Praxis gehört die Lücke damit zu den höchstpriorisierten Einträgen jeder Patch-Warteschlange.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.