Palo-Alto-Firewalls: Angreifer nutzen eine Root-Lücke im Verwaltungszugang aus

Michael Dobler

Autor Dr. Web

15. Oktober 2026

3 Min. Lesezeit

Palo Alto Networks hat eine Lücke in der Verwaltungsoberfläche seiner Firewalls geschlossen, die Angreifer bereits ausnutzen. Über CVE-2026-0322 läuft fremder Code mit Root-Rechten auf dem Gerät, ein gültiges Administratorkonto vorausgesetzt. Wie die Täter an solche Konten kamen, lässt der Hersteller offen.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Am 14. Oktober um 18 Uhr deutscher Zeit veröffentlichte Palo Alto Networks den Sicherheitshinweis und bestätigte eine „sehr begrenzte“ Ausnutzung.^[1] Die US-Cybersicherheitsbehörde CISA nahm die Lücke noch am selben Tag in ihren Katalog aktiv ausgenutzter Schwachstellen auf. US-Bundesbehörden müssen ihre Firewalls bis zum 17. Oktober absichern.^[2]

Das Wichtigste in Kürze

Über CVE-2026-0322 in der PAN-OS-Verwaltung führen Angreifer mit Administratorrechten Code als root aus.
Betroffen sind die Firewalls der PA-Series und VM-Series sowie Panorama, die Cloud-Dienste Cloud NGFW und Prisma Access nicht.
Palo Alto bestätigt Angriffe und nennt keinen Workaround, allein das Update schließt die Lücke.
Die CISA lässt US-Behörden drei Tage Zeit, im Januar waren 21 Tage noch die Regel.

Welche Firewalls sind betroffen?

Weißer Netzwerk-Switch, orangefarbener Schlüssel und Schlüsselanhänger „Admin“ vor weißem Hintergrund — Sicherheitslücke in PAN-OS: PA-Series, VM-Series und Panorama betroffen. Updates für Zweige 10.2 bis 12.2 verfügbar. Ältere Versionen benötigen Upgrade auf unterstützten Zweig

Die Lücke betrifft PAN-OS auf den Hardware-Firewalls der PA-Series, auf den virtuellen Geräten der VM-Series und auf der Verwaltungszentrale Panorama. Korrigierte Fassungen liegen für die Zweige 10.2, 11.1, 11.2, 12.1 und 12.2 bereit. Betreiber älterer Versionen ohne Support müssen auf einen unterstützten Zweig wechseln.^[1]

Im CVSS-Schema 4.0 bewertet Palo Alto den Fehler mit 8,6 von 10 Punkten, also als hoch, nicht als kritisch. Die Dringlichkeit setzt der Hersteller trotzdem auf die höchste Stufe Rot, weil die Angriffe bereits laufen.

Warum schützt die Anmeldung nur bedingt?

Palo Alto ordnet den Fehler der Klasse Code-Injection (CWE-94) zu: Die Verwaltungsoberfläche verarbeitet Eingaben so, dass daraus ausführbarer Code wird. Im Bewertungsvektor steht der Vermerk „hohe Rechte erforderlich“, der Angreifer braucht also ein Administratorkonto auf der Firewall.^[1]

Für den Weg zu diesem Konto bleiben zwei Möglichkeiten. Angreifer nutzen gestohlene Zugangsdaten, etwa von Schadsoftware auf Admin-Rechnern, oder koppeln die Lücke mit einem zweiten Fehler, der die Anmeldung umgeht.

Genau diese Kette nutzten Angreifer im November 2024: Mit CVE-2024-0012 umgingen sie die Anmeldung an der PAN-OS-Verwaltung, mit CVE-2024-9474, einer Lücke für angemeldete Administratoren, verschafften sie sich Root-Rechte.^[3] Palo Alto hatte die Kopplung beider Fehler im eigenen Hinweis ausdrücklich genannt.^[4]

Root-Lücke in der PAN-OS-Verwaltung

CVE-2026-0322, Stand 15. Oktober 2026

8,6 von 10

Punkten im CVSS-Schema 4.0, die Dringlichkeit steht trotzdem auf Rot

1 Admin-Konto

braucht der Angreifer, danach läuft sein Code als root

5 Zweige

von PAN-OS 10.2 bis 12.2 haben ein Update erhalten

0 Workarounds

nennt Palo Alto, die Signaturen schützen nur begrenzt

Anteil der neuen CISA-Katalogeinträge mit nur drei Tagen Frist

Januar 20262 von 17 Einträgen

September 202634 von 43 Einträgen

Oktober 202615 von 15 Einträgen

Warum lässt die CISA nur drei Tage Zeit?

Drei Tage Frist sind bei der CISA inzwischen die Regel, wie eine Auswertung des Katalogs durch Dr. Web zeigt. Im Januar 2026 vergab die Behörde bei 15 von 17 neuen Einträgen noch 21 Tage, im September bei 34 von 43 Einträgen nur noch drei Tage, im Oktober bislang bei allen 15.^[2]

Palo Alto meldet in diesem Jahr nicht die erste Firewall-Lücke. Ab Mai nutzte die Ransomware-Gruppe Qilin eine Lücke im GlobalProtect-VPN von Palo Alto, im September folgte die XML-Lücke CVE-2026-0310, die ohne Anmeldung Root-Rechte auf PA-Series-Hardware ermöglicht. Am selben Tag wie CVE-2026-0322 landete eine Lücke im Cisco Secure Email Gateway im Katalog.

Eine Firewall-Verwaltung im offenen Netz macht aus jedem gestohlenen Admin-Passwort einen Generalschlüssel.
Markus Seyfferth, Chefredakteur Dr. Web

Was müssen Admins jetzt tun?

Unter dem deutschen NIS2-Recht zählt das Schwachstellenmanagement nach § 30 Abs. 2 Nr. 5 BSIG zu den Pflichtmaßnahmen wichtiger und besonders wichtiger Einrichtungen.^[5] Gelingt ein Einbruch über die Firewall, kann zusätzlich die 24-Stunden-Erstmeldung nach § 32 BSIG fällig werden.^[6] Aus dem Hinweis von Palo Alto und der Voraussetzung eines Admin-Kontos ergeben sich diese Schritte:

PAN-OS auf eine korrigierte Version bringen, etwa 12.2.4, 12.1.10-h2, 11.2.16, 11.1.16-h3 oder 10.2.18-h12.
Den Zugang zur Verwaltungsoberfläche auf vertrauenswürdige interne Adressen oder einen einzelnen Jump-Host beschränken.
Administratorkonten prüfen: unbekannte Konten löschen, Anmeldeprotokolle auswerten, Passwörter erneuern und eine Zwei-Faktor-Anmeldung einschalten.
Mit Threat-Prevention-Abo die Signaturen 510046 und 510047 aktivieren, die allerdings nur bekannte Angriffsmuster erkennen.

Firmen ohne eigenes Sicherheitsteam können Update und Kontrolle an ein IT-Systemhaus mit Managed Services abgeben. Wie Schwachstellenmanagement und Meldepflichten zusammenhängen, erklären die Cybersecurity-Grundlagen auf Dr. Web.

FAQ: Palo-Alto-Firewalls: Angreifer nutzen eine Root-Lücke im Verwaltungszugang aus

Welche Palo-Alto-Produkte sind von CVE-2026-0322 betroffen?

Betroffen ist PAN-OS auf den Firewalls der PA-Series und VM-Series sowie auf Panorama in virtueller Form und als M-Series-Appliance. Nicht betroffen sind die Cloud-Dienste Cloud NGFW und Prisma Access. Korrigierte Versionen stehen für die Zweige 10.2, 11.1, 11.2, 12.1 und 12.2 bereit.

Können Angreifer CVE-2026-0322 ohne Passwort ausnutzen?

Nein. Der Angreifer braucht Netzzugang zur Verwaltungsoberfläche und ein Konto mit Administratorrechten. Gefährlich wird die Lücke, sobald Zugangsdaten gestohlen sind oder eine zweite Schwachstelle die Anmeldung umgeht, wie im November 2024 bei CVE-2024-0012.

Welcher Workaround schützt vor CVE-2026-0322?

Keiner. Palo Alto nennt keinen Workaround. Den Angriff erschwert eine Beschränkung der Verwaltungsoberfläche auf interne Adressen. Kunden mit Threat-Prevention-Abo können die Signaturen 510046 und 510047 aktivieren, die aber nur bekannte Muster erkennen.

Was bedeutet der Eintrag im CISA-Katalog KEV?

Der Katalog Known Exploited Vulnerabilities der US-Behörde CISA listet Lücken, die nachweislich angegriffen werden. US-Bundesbehörden müssen eingetragene Lücken bis zu einer Frist schließen, bei CVE-2026-0322 bis zum 17. Oktober 2026. Für Firmen in Europa ist der Eintrag ein starkes Signal, das Update vorzuziehen.