Palo Alto Networks warnt vor aktiver Ausnutzung der PAN-OS-Lücke

Erstmals berichtet 19. Okt., 22:35 UTCQuelle: Palo Alto Networks Unit 42Letzte redaktionelle Änderung 19. Okt., 22:35 UTCKommentar schreiben ↓

Two analysts silhouetted in front of monitors in a security operations center — WORLDTECH illustration · AI-generated (Canva)

Das Threat-Intelligence-Team Unit 42 von Palo Alto Networks hat die aktive Ausnutzung der PAN-OS-Schwachstelle CVE-2026-0257 durch einen nicht identifizierten Angreifer gemeldet, der versucht, auf GlobalProtect zuzugreifen. Öffentliche Berichte bringen die Lücke mit Ransomware-Betreibern in Verbindung.

So wird die Lücke ausgenutzt

Bei der Schwachstelle handelt es sich um eine Authentifizierungsumgehung in den Portal- und Gateway-Komponenten anfälliger PAN-OS-Versionen. Nach Angaben des Unternehmens könnten unbefugte Eindringlinge so an Sicherheitsprüfungen vorbeikommen und virtuelle private Netzwerkverbindungen öffnen.

Unit 42 zufolge versucht der nicht identifizierte Akteur, über die Lücke GlobalProtect zu erreichen. Nur ein kleiner Teil der untersuchten Geräte baute tatsächlich VPN-Sitzungen auf und erzeugte dabei gateway-seitige Ereignisse.

In öffentlichen Berichten genannte Ransomware-Gruppen

Laut dem Bericht nutzen Spikey Scorpius (auch Qilin) und Tarnished Scorpius (auch Inc), beide als Ransomware-Betreiber beschrieben, CVE-2026-0257 aus. Einige öffentliche Darstellungen führen die Ausnutzung auf Akteure zurück, die Settra-Ransomware einsetzen, also Software, die Dateien verschlüsselt und eine Zahlung verlangt.

Angreifer nutzen die Lücke, um sich in Firmennetzen einen ersten Zugang zu verschaffen, und umgehen danach die Multi-Faktor-Authentifizierung, um eine VPN-Sitzung aufzubauen. In einem bemerkenswerten Fall wechselten sie vom kompromittierten VPN-Gateway zu einer vCenter-Verwaltungsanwendung.

Was bestätigt ist und was nicht

Die Lücke wurde am 13. Mai 2026 in den KEV-Katalog aufgenommen. Unit 42 hat bislang kein Verhalten nach dem Zugriff und keine seitliche Bewegung festgestellt. Palo Alto Networks erklärt, dass Cortex Xpanse öffentlich erreichbare PAN-OS-Gateways und GlobalProtect-Portale erkennen kann und Kunden Produktschutzmaßnahmen gegen die Bedrohung nutzen können.

Offene Fragen

Wer steckt hinter dem nicht identifizierten Akteur?
Wird noch Verhalten nach dem Zugriff oder seitliche Bewegung festgestellt werden?

Wichtige Fakten

Palo Alto Networks Unit 42 hat die aktive Ausnutzung von CVE-2026-0257 in PAN-OS beobachtet.

Die Lücke wurde am 13. Mai 2026 in den KEV-Katalog aufgenommen.

Die Ransomware-Betreiber Spikey Scorpius (auch Qilin) und Tarnished Scorpius (auch Inc) sollen sie ausnutzen.

Es handelt sich um eine Authentifizierungsumgehung in den Portal- und Gateway-Komponenten, die Angreifern den Aufbau von VPN-Verbindungen ermöglichen könnte.

Bisher wurde kein Verhalten nach dem Zugriff oder seitliche Bewegung im Netzwerk festgestellt.