Swiss KMU Cyber-Alert: Palo Alto PAN-OS – aktiv ausgenutzte Admin-Lücke ermöglicht Root-Zugriff
Palo Alto Networks bestätigt Angriffe auf CVE-2026-0322 in der Verwaltungsoberfläche von PAN-OS. Ein Angreifer benötigt bereits einen authentifizierten Administratorzugang und Netzwerkzugriff auf das Management; danach kann er Code mit Root-Rechten auf der Firewall ausführen.
Falls Ihr Unternehmen Palo-Alto-Firewalls oder Panorama einsetzt, sollte Ihr IT-Dienstleister heute Version, Erreichbarkeit der Verwaltung und mögliche Angriffsspuren prüfen und auf einen korrigierten Stand aktualisieren.
Was ist passiert?
Palo Alto Networks veröffentlichte die Warnung am 14. Oktober 2026 und bewertet CVE-2026-0322 mit CVSS 8.6 sowie höchster Dringlichkeit. Der Hersteller hat eine sehr begrenzte aktive Ausnutzung gegen die PAN-OS-Verwaltungsoberfläche beobachtet. CISA nahm die Lücke am selben Tag in den KEV-Katalog auf.
Könnte mein Unternehmen betroffen sein?
Betroffen sind PAN-OS auf PA-Series- und VM-Series-Firewalls sowie Panorama als virtuelle oder M-Series-Appliance. Cloud NGFW und Prisma Access sind laut Hersteller nicht betroffen. Für die Ausnutzung braucht der Angreifer ein authentifiziertes Konto mit hohen Rechten und Netzwerkzugriff auf die Verwaltungsoberfläche; besonders riskant ist eine aus dem Internet erreichbare Verwaltung.
Was sollten Sie jetzt tun?
Beauftragen Sie Ihren IT-Dienstleister jetzt mit folgenden Schritten:
PAN-OS-Versionen auf allen Firewalls und Panorama-Systemen mit der aktuellen Hersteller-Tabelle abgleichen und einen korrigierten Release einspielen.
Prüfen, ob die Managementoberfläche aus externen oder nicht vertrauenswürdigen Netzen erreichbar ist, und den Zugriff auf interne Administrationssysteme beziehungsweise eine Jump-Box beschränken.
Administrator-Konten, Anmeldeprotokolle und Systemereignisse auf Auffälligkeiten prüfen; bei Hinweisen auf Missbrauch eine Kompromittierungsanalyse einleiten.
Wie dringend ist es?
Hoch – Prüfung noch heute. Die Lücke wird bereits ausgenutzt und ermöglicht Root-Zugriff auf ein zentrales Sicherheitsgerät. Sie ist jedoch kein Angriff ohne Anmeldung: Der Täter benötigt einen privilegierten, authentifizierten Zugang zur Verwaltung.
Informationen für Ihren IT-Dienstleister
Betroffen sind PAN-OS 10.2, 11.1, 11.2, 12.1 und 12.2 in den im Advisory genannten älteren Builds. Korrigierte Zielstände sind je nach Wartungszweig unter anderem 10.2.18-h12, 11.1.16-h3, 11.2.13-h3, 12.1.10-h2 und 12.2.4 oder die jeweils neuere korrigierte Version. Es gibt keinen vollständigen Workaround; Threat IDs 510046 und 510047 bieten laut Hersteller nur begrenzte Abdeckung und setzen zusätzliche Konfiguration inklusive SSL-Entschlüsselung voraus.
