Eine als „mittel“ eingestufte Lücke im GlobalProtect-VPN von Palo Alto reicht der Ransomware-Gruppe Qilin, um komplette Firmennetze zu übernehmen. Angreifer kontrollieren ganze Windows-Domänen, bevor die Verschlüsselung startet. Betroffen sind Zehntausende offen erreichbare Firewalls, auch im deutschsprachigen Raum.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Die Palo-Alto-VPN-Lücke CVE-2026-0257 trägt nur den CVSS-Wert 7,8 und gilt damit nicht einmal als kritisch. Genau solche Schwachstellen unterschätzen viele Betreiber. Sicherheitsforscher von Arctic Wolf haben im Juni 2026 mehrere Einbrüche dokumentiert, die alle über dieselbe Firewall-Funktion begannen und mit Qilin-Ransomware endeten.[1]
Das Wichtigste in Kürze
- CVE-2026-0257 hebelt die Anmeldung am GlobalProtect-Portal aus, sobald Authentifizierungs-Cookies mit bestimmten Zertifikaten aktiv sind.
- Palo Alto lieferte den Patch am 13. Mai 2026, Angriffe laufen seit dem 17. Mai, die US-Behörde CISA setzte eine Drei-Tage-Frist.
- Qilin war 2026 die weltweit aktivste Ransomware-Gruppe und arbeitet nach dem Baukasten-Modell mit wechselnden Partnern.
- Der Dienst Shadowserver zählt rund 167.000 offen erreichbare GlobalProtect-Instanzen im Netz.
Wie hebelt ein Cookie die Anmeldung aus?
CVE-2026-0257 ist ein Authentifizierungs-Bypass: Ist die Cookie-Übersteuerung im GlobalProtect-Portal zusammen mit bestimmten Zertifikatseinstellungen aktiv, baut ein Angreifer ohne gültige Zugangsdaten eine echte VPN-Sitzung auf, die für die Überwachung völlig legitim aussieht.
Der eigentliche Hebel liegt nicht im Fehler selbst, sondern in der Rolle des Geräts. Ein VPN-Gateway steht per Definition offen im Internet und gilt intern zugleich als vertrauenswürdig. Übersteigt ein Angreifer diese Grenze, sitzt er sofort hinter der Verteidigungslinie und gilt allen nachgelagerten Systemen als angemeldeter Mitarbeiter.
Dasselbe Muster hat sich zuletzt gezeigt, als Angreifer Fortinets FortiSandbox kaperten, und bei der nachgereichten Sandbox-Umgehung bei ServiceNow. Nicht der Endpunkt ist das Ziel, sondern das Randgerät, dem alle vertrauen.
Warum sind Firewalls das Lieblingsziel?
Ein gekapertes VPN-Gateway erspart Angreifern Phishing und gestohlene Passwörter. Sie stehen mit einem Schlag im Netz und können sich als vermeintlich legitime Nutzer frei bewegen, ohne dass ein Alarm anschlägt.
Nach dem Einbruch hat Qilin auf bewährtes Handwerk zurückgegriffen: Zugangsdaten aus dem Arbeitsspeicher und dem Verzeichnisdienst auslesen, per Fernwartung seitlich durchs Netz wandern, Daten zu einem Cloudspeicher abfließen lassen und am Ende die Protokolle löschen. Weil Qilin nach dem Baukasten-Modell mit wechselnden Partnern arbeitet, ist die Vorgehensweise pro Einbruch unterschiedlich ausgefallen, von schneller Verschlüsselung bis zur doppelten Erpressung.[2]
Eine Sieben-Komma-Acht-Lücke klingt harmlos, doch am Netzwerkrand entscheidet nicht der Schweregrad, sondern die Position. Ein übernommenes VPN-Gateway ist die Abkürzung mitten ins Herz der Domäne.
— Markus Seyfferth, Chefredakteur Dr. Web
Wie Qilin über Palo Altos GlobalProtect-VPN in Firmennetze kommt
Was sollten deutsche Betreiber jetzt tun?
Sofort auf die gepatchten PAN-OS-Builds aktualisieren, die GlobalProtect-Konfiguration auf aktive Authentifizierungs-Cookies prüfen und die Firewall-Protokolle rückwirkend nach unbekannten VPN-Sitzungen durchsuchen.
Der Fall ist kein fernes US-Problem. Qilin hat im März 2026 die Partei Die Linke getroffen und dabei 1,5 Terabyte an Daten abgezogen. Für viele Unternehmen ist ein solcher Vorfall unter NIS2 meldepflichtig, und das Gesetz betrifft in Deutschland rund 30.000 Organisationen mit Bußgeldern bis zu 10 Millionen Euro.
Wichtiger als jede Police bleibt die Vorbereitung auf den Ernstfall. Gerade der im Mittelstand oft ungeschützte Ernstfall zeigt, dass Sicherungen offline liegen müssen, denn beim Angriff auf Rumäniens Grundbuch wogen die gelöschten Backups schwerer als die gestohlenen Daten.
Quellen
[1] Arctic Wolf: „Cookie Crumbles: How Exploitation of CVE-2026-0257 Leads to Qilin Ransomware“
[2] Palo Alto Networks, Unit 42: „Threat Brief: Active Exploitation of PAN-OS CVE-2026-0257″
Mehr Newshunger?
- Vom Schutzschild zum Einfallstor: Angreifer kapern Fortinets FortiSandbox
- Vier Tage nach dem Patch: Angreifer umgehen ServiceNows Sandbox über einen zweiten Weg
- Erst zwei Opfer, dann die Deutsche Bank: Was hinter der Erpressergruppe UnSafe steckt
- Angriff auf Rumäniens Grundbuch: Warum gelöschte Backups schlimmer sind als gestohlene Daten
- Cyberversicherung: Der Markt boomt, der Mittelstand bleibt ungeschützt
