Palo Alto Networks warnt vor CVE-2026-0310, einer Lücke, die eine Firewall vom Wächter zum Einfallstor macht. Auf den Hardware-Modellen der PA-Series genügt eine präparierte XML-Anfrage, um Root-Rechte zu erlangen, ganz ohne Anmeldung. Noch fehlt ein bekannter Angriff, doch das Zeitfenster für das Update ist knapp.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Am 9. September 2026 veröffentlichte Palo Alto Networks eine Sicherheitswarnung zur PAN-OS-Lücke CVE-2026-0310, die IT-Verantwortliche alarmieren dürfte.[1] Der Fehler steckt tief in der Firewall-Software und lässt sich über das Netzwerk auslösen, bevor sich ein Angreifer überhaupt anmelden muss.
Das Wichtigste in Kürze
- CVE-2026-0310 steckt in der XML-Verarbeitung von PAN-OS und lässt sich unauthentifiziert über das Netzwerk auslösen.
- Auf den Hardware-Firewalls der PA-Series droht Codeausführung als root, bewertet mit einem CVSS-Basiswert von 9.2. Virtuelle VM-Series stürzen nur ab.
- Palo Alto Networks meldet zum Stichtag keine aktive Ausnutzung und stellt Patches für fünf PAN-OS-Zweige bereit.
- Einen Workaround nennt der Hersteller nicht. Die vom Internet getrennte Management-Schnittstelle senkt den Schweregrad deutlich.
Was macht CVE-2026-0310 so gefährlich?
Ein Pufferüberlauf in der XML-Verarbeitung von PAN-OS öffnet Angreifern die Firewall. Ein Angreifer mit Netzzugriff auf die Management-Weboberfläche oder die Dataplane-Schnittstelle schickt präparierte XML-Daten und überschreibt damit den Speicher außerhalb der vorgesehenen Grenzen (CWE-787).
Auf den Hardware-Modellen der PA-Series und auf der Verwaltungszentrale Panorama endet dieser Speicherfehler in einer Codeausführung mit Root-Rechten, dem höchsten Privileg im System. Palo Alto Networks vergibt dafür den CVSS-Basiswert 9.2 und stuft die Lücke als hoch ein. Die Ausnutzung gilt als technisch anspruchsvoll, weil sie präzise Bedingungen im Speicher voraussetzt.
Warum trennt die Lücke Hardware und virtuelle Firewall?
Nur die Hardware gibt den vollen Zugriff preis. Auf virtuellen VM-Series-Firewalls führt derselbe Fehler lediglich zu einem Absturz, also einem Denial of Service, nicht zur Codeausführung. Die unterschiedliche Speicherarchitektur der Appliances erklärt die Kluft zwischen Totalübernahme und bloßem Ausfall.
Firewalls und VPN-Gateways stehen am Rand des Netzwerks und ziehen Angreifer besonders an. Erst im Juli öffnete die Qilin-Ransomware eine Palo-Alto-VPN-Lücke, kurz darauf warnte die CISA mit Höchstwertung vor einer Cisco-Firewall-Lücke. Wie schnell danach die Angriffe folgen, zeigte zuletzt eine SharePoint-Lücke mit nur einem Tag Vorsprung, weil Angreifer aus dem Patch selbst die Bauanleitung für den Exploit gewinnen.
Eine Firewall, die selbst zur offenen Tür wird, ist der Albtraum jeder Sicherheitsarchitektur. Zwischen Patch und erstem Exploit liegen bei solchen Lücken oft nur Stunden, nicht Wochen.
— Markus Seyfferth, Chefredakteur Dr. Web
Was bedeutet die PAN-OS-Lücke für Unternehmen in der DACH-Region?
Perimeter-Firewalls sichern in vielen Betrieben genau die Grenze, die NIS2 und das BSI besonders im Blick haben. Fällt dieser Schutzwall, haften Betreiber wichtiger Einrichtungen für Versäumnisse bei Updates und Härtung selbst.
Drei Schritte drängen. Zuerst spielen Sie das Update auf eine korrigierte PAN-OS-Version ein, etwa 12.2.3 oder 12.1.10, denn einen Workaround nennt Palo Alto Networks nicht. Danach trennen Sie die Management-Schnittstelle vom offenen Internet, was den Schweregrad laut Hersteller von 7.2 auf 5.2 senkt. Zum Schluss prüfen Sie die Protokolle auf verdächtige Zugriffe. Eine Übersicht zum grundsätzlichen Schutz vor schädlichem Datenverkehr bietet unser Ratgeber zur Web Application Firewall.
FAQ: Kritische PAN-OS-Lücke gibt Angreifern Root-Rechte auf Palo-Alto-Firewalls
Was ist die PAN-OS-Lücke CVE-2026-0310?
CVE-2026-0310 ist ein Pufferüberlauf in der XML-Verarbeitung von PAN-OS. Ein Angreifer erreicht die Lücke unauthentifiziert über das Netzwerk und kann auf Hardware-Firewalls der PA-Series Code mit Root-Rechten ausführen. Palo Alto Networks bewertet sie mit einem CVSS-Basiswert von 9.2.
Welche PAN-OS-Versionen sind betroffen?
Betroffen sind die PAN-OS-Zweige 10.2, 11.1, 11.2, 12.1 und 12.2 vor den jeweils korrigierten Builds. Palo Alto Networks stellt für jeden Zweig eine fehlerbereinigte Version bereit, etwa 12.2.3 oder 12.1.10.
Wird CVE-2026-0310 bereits aktiv ausgenutzt?
Zum Zeitpunkt der Offenlegung am 9. September 2026 meldet Palo Alto Networks keine aktive Ausnutzung und keinen öffentlichen Exploit-Code. Bei kritischen Firewall-Lücken schließt sich dieses Zeitfenster erfahrungsgemäß schnell, weshalb ein rasches Einspielen der Updates ratsam ist.
Sind virtuelle VM-Series-Firewalls genauso gefährdet?
Auf virtuellen VM-Series-Firewalls führt die Lücke nur zu einem Ausfall (Denial of Service), nicht zur Codeausführung. Den vollständigen Root-Zugriff erlauben ausschließlich die Hardware-Appliances der PA-Series sowie die Verwaltungszentrale Panorama.
Wie schützen sich Unternehmen vor der PAN-OS-Lücke?
Der wirksamste Schutz ist das Update auf eine korrigierte PAN-OS-Version, denn einen Workaround gibt es nicht. Zusätzlich senkt eine vom Internet getrennte Management-Schnittstelle den Schweregrad, laut Hersteller von einem CVSS-BT-Wert von 7.2 auf 5.2.
Quelle
[1] Palo Alto Networks: „Security Advisory CVE-2026-0310: Buffer Overflow Vulnerability via XML Processing“
Mehr Newshunger?
- Höchstwertung für Ciscos Firewall-Lücke: CISA warnt vor drei Herstellern
- Gunra-Ransomware: Zwei alte Fortinet-Lücken öffnen die Firewall
- Qilin-Ransomware nutzt Palo-Alto-VPN-Lücke: Wenn ein Cookie die Firewall öffnet
- SharePoint-Lücke CVE-2026-55040: Ein Tag zwischen Beispielcode und erstem Angriff
- GitLab-Lücke CVE-2026-19478: Der Patch lieferte die Bauanleitung
- Metabase-Sicherheitslücke: Angreifer stehlen Kundendaten über die Analyse-Plattform
