Seit dem 21. Oktober liefert das PHP-Team abgesicherte Versionen, auf den Firewalls von Palo Alto Networks stecken die PHP2Shell genannten Sicherheitslücken trotzdem noch in den meisten Versionen von PAN-OS. Sieben von 20 Hotfixes sind erschienen, die übrigen plant der Hersteller bis zum 30. Oktober. Bis dahin entscheidet der Zugang zur Verwaltungsoberfläche über das Risiko.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenUm 6:45 Uhr deutscher Zeit strich Palo Alto Networks am Montag vier Liefertermine aus seiner Sicherheitswarnung: Die Hotfixes für PAN-OS 11.1.4, 11.1.6, 11.1.10 und 11.1.13 sind erschienen.[1] Betroffen sind die Firewalls der PA- und der VM-Serie sowie die zentrale Verwaltung Panorama in der Standardeinstellung.
Das Wichtigste in Kürze
- PAN-OS 10.2 bis 12.2 und Panorama sind betroffen, angreifbar sind die Verwaltungsoberfläche und die XML-Schnittstelle.
- Sieben Hotfixes sind erschienen, 13 weitere plant Palo Alto zwischen dem 27. und dem 30. Oktober.
- Palo Alto bewertet die Gefahr für PAN-OS mit 8,7 von 10 Punkten, das PHP-Team mit 9,2.
- GlobalProtect, Prisma Access und Cloud NGFW sind nicht betroffen, Angriffe auf PAN-OS kennt Palo Alto bisher nicht.
Warum wartet die Firewall auf Palo Alto?
Die Weboberfläche von PAN-OS läuft auf einer eigenen PHP-Installation, die Palo Alto mit dem Betriebssystem ausliefert. Die beiden Fehler CVE-2026-109618 und CVE-2026-109619 sitzen in der Fehlerbehandlung des PHP-Interpreters: Nach einem Speichermangel oder einem schweren Fehler bleiben Daten zurück, die eine spätere Anfrage weiterverwendet.[1] Auf einem Webserver tauschen Administratoren das Paket aus, die neuen Versionen liegen seit dem 21. Oktober vor. Auf einer Firewall ist dieser Weg versperrt. Das abgesicherte PHP kommt nur mit einem Hotfix des Herstellers. Jede der 20 betroffenen Unterversionen von PAN-OS braucht einen eigenen.
Für PAN-OS rechnet Palo Alto mit 8,7 statt 9,2 Punkten, weil der Hersteller als Folge nur einen Ausfall des Geräts wertet, keinen Datenabfluss und keine Manipulation.[1] Das PHP-Team rechnet bei denselben Fehlern auch mit ausgelesenen und veränderten Daten, denn Forscher führten auf Webservern bereits eigenen Code aus.
Wie riskant sind die Tage bis zum Update?
Die Verwaltungsoberfläche von PAN-OS haben Angreifer schon mehrfach als Einfallstor genutzt. Im November 2024 lagen zwischen Palo Altos Warnung vor einer Sicherheitslücke im Verwaltungszugang und der Korrektur für CVE-2024-0012 zehn Tage: Die Warnung kam am 8., laufende Angriffe meldete der Hersteller am 14., die Korrektur am 18. November.[2] Mitte Oktober 2026 nutzten Angreifer eine Sicherheitslücke in der Verwaltung von PAN-OS aus, über die sie Root-Rechte erlangten. Vergangene Woche beschrieb Group-IB eine Kampagne gegen Firewalls von Fortinet und Palo Alto, bei der Angreifer mehr als 70.000 Zugangsdaten erbeuteten.
Seit die Details zu PHP2Shell am 20. Oktober vorzeitig bekannt wurden, kursieren Dutzende Angriffsskripte, von denen die Sicherheitsfirma VulnCheck nur wenige für funktionsfähig hält. Hosting-Anbieter meldeten Angriffe auf Webserver schon vor dem PHP-Update.
Ein PHP-Update erreicht die Firewall nur über den Hersteller. Bei Palo Alto vergehen dafür bis zu neun Tage.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Administratoren bis zum Hotfix tun?
Für Einrichtungen, die unter NIS2 fallen, verlangt das BSI-Gesetz ein Schwachstellenmanagement bei der Wartung ihrer Systeme.[3] Wie ein automatisiertes Patch-Management aussieht, beschreiben die Grundlagen der Cybersicherheit. Für Administratoren gilt:
- Die Verwaltungsoberfläche nur aus internen Netzen erreichbar machen oder über einen einzigen abgesicherten Zwischenrechner (Jump-Server), über den alle Zugriffe der Administratoren laufen.
- Im Modul Threat Prevention die 25 Erkennungsregeln (Threat-IDs) aus dem Signatur-Update 9162 aktivieren. Wirksam sind die Regeln nur unter Bedingungen, etwa einem regulären Netzwerkanschluss statt des eigenen Verwaltungsanschlusses.
- Mit dem Abonnement ATP Plus fängt ab PAN-OS 12.2.4 seit dem 21. Oktober eine Filterregel (Threat-ID 543004) Angriffe ab, bevor sie die Verwaltungsoberfläche erreichen.
- Den Hotfix für die eigene PAN-OS-Version sofort nach Erscheinen einspielen, Panorama eingeschlossen.
Quellen
3 Quellen anzeigenQuellen ausblenden
- Palo Alto NetworksCVE-2026-109618 Impact of Critical Vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Palo Alto Networks Products (21. Oktober 2026, aktualisiert am 26. Oktober 2026)
- Palo Alto NetworksCVE-2024-0012 PAN-OS: Authentication Bypass in the Management Web Interface (PAN-SA-2024-0015)
- Gesetz über das Bundesamt für Sicherheit in der Informationstechnik§ 30 BSIG, Risikomanagementmaßnahmen, Abs. 2 Nr. 5
Mehr Newshunger?
- Kampagne gegen Fortinet und Palo Alto: Angreifer erbeuteten mehr als 70.000 Zugangsdaten
- Fortinet schließt von KI gefundene Lücken, Details folgen erst am 10. November
- PHP2Shell: Dritte Sicherheitslücke in PHP bekommt kein Notfall-Update
- Nginx: Drei kritische Sicherheitslücken im Webserver fast jeder dritten Website
- HTTP2Shell: Lücke in Googles Brotli trifft Node.js, Python und weitere Software
- Arista: Angreifer nutzen die dritte kritische VeloCloud-Sicherheitslücke seit Juli
- Wie sicher ist PHP nach PHP2Shell noch?
