CVE-2026-0257: Authentifizierungs-Bypass in PAN-OS GlobalProtect, aktiv ausgenutzt

CVE-2026-0257: Authentifizierungs-Bypass in PAN-OS GlobalProtect, aktiv ausgenutzt

In Kürze

CVE-2026-0257 ist eine Schwachstelle zur Umgehung der Authentifizierung im GlobalProtect-Portal und -Gateway von PAN-OS, dem System, das die Firewalls und Unternehmens-VPNs von Palo Alto Networks verwaltet [1]. Ein Angreifer, der sie ausnutzt, kann die Zugriffskontrollen umgehen und eine nicht autorisierte VPN-Verbindung zum internen Netzwerk des Unternehmens herstellen [1]. Sie hat einen CVSS-Wert von 7.8, Schweregrad "hoch" laut NVD [1], veröffentlicht am 13. Mai 2026 [1], und ist im Katalog aktiv ausgenutzter Schwachstellen (KEV) von CISA gelistet [2], was bestätigt, dass ihre reale Nutzung durch Angreifer bereits festgestellt wurde. Wenn Ihre Organisation GlobalProtect für den Fernzugriff nutzt, sollten Sie noch heute die verwendete PAN-OS-Version überprüfen, den Patch des Herstellers anwenden und die Protokolle der letzten VPN-Verbindungen auf ungewöhnliche Zugriffe prüfen.

Was es ist und warum es wichtig ist

Ein "Authentifizierungs-Bypass"-Fehler bedeutet, dass das System, das die Identität der sich verbindenden Person überprüfen sollte, umgangen werden kann, sodass Datenverkehr durchgelassen wird, als wäre er legitim [1]. In diesem konkreten Fall betrifft das Problem das Portal und das Gateway von GlobalProtect, die VPN-Lösung von Palo Alto Networks, die viele Unternehmen nutzen, damit sich ihre Mitarbeiter remote mit dem Unternehmensnetzwerk verbinden können [1]. Gelingt es einem Angreifer, eine nicht autorisierte VPN-Verbindung herzustellen, erhält er einen Zugangspunkt innerhalb des Netzwerkperimeters mit demselben Vertrauensniveau wie ein legitimer, remote verbundener Mitarbeiter. Wichtig ist, dass gemäß der Beschreibung des Herstellers selbst Panorama und Cloud NGFW von diesem Problem nicht betroffen sind [1]; der Fokus liegt auf dem Portal und dem Gateway von GlobalProtect.

Wen betrifft es

Der Haupthersteller ist Palo Alto Networks, mit seinem Produkt PAN-OS und dem Modul GlobalProtect (Portal und Gateway) [1]. Der NVD-Eintrag nennt zudem Siemens als verwandten Hersteller im Zusammenhang mit dieser CVE, ohne jedoch anzugeben, welches Produkt betroffen ist oder auf welchen eigenen Hinweis sich das bezieht [1]; mit den verfügbaren Informationen lässt sich keine konkrete Betroffenheit bei Siemens-Produkten bestätigen, weshalb wir dies nicht als konkrete Handlungsempfehlung behandeln, sondern lediglich als Hinweis, den Unternehmen im Blick behalten sollten, die Lösungen beider Hersteller einsetzen.

In der Praxis sind potenziell alle Organisationen betroffen, die GlobalProtect als VPN-Zugangspunkt für Mitarbeiter, Dienstleister oder Remote-Geräte nutzen, insbesondere wenn das Portal direkt im Internet erreichbar ist, was bei dieser Art von Lösung die übliche Nutzung darstellt.

Wie Sie feststellen, ob Sie betroffen sind

Der erste Schritt besteht darin, festzustellen, ob Ihr Unternehmen ein GlobalProtect-Portal oder -Gateway im Internet exponiert hat und welche PAN-OS-Version dabei läuft. Da es sich um eine VPN-Komponente handelt, ist sie konstruktionsbedingt üblicherweise von außerhalb des Unternehmensnetzwerks erreichbar, was das Zeitfenster der Exposition vergrößert, solange der Patch nicht angewendet wurde. Zu prüfen, welche Dienste Ihrer Organisation dem Internet ausgesetzt sind – und mit welcher Softwareversion – ist der Ausgangspunkt, bevor Sie Patch-Prioritäten festlegen; falls Sie über dieses aktuelle Inventar nicht verfügen, ist das die erste Lücke, die geschlossen werden sollte.

Als zusätzliche Referenz stuft unser OCIRIA-Intelligence-Radar diese Schwachstelle in die Kategorie Authentifizierung und unbefugter Zugriff ein und markiert sie aufgrund ihrer Rolle im Netzwerkperimeter als vorrangig zu beachten, im Einklang mit ihrer Aufnahme in den KEV-Katalog von CISA [2].

Wie Sie sich schützen

• Ermitteln Sie alle PAN-OS-Instanzen mit GlobalProtect (Portal und Gateway) in Ihrer Infrastruktur und bestätigen Sie die installierte Version.
• Wenden Sie den von Palo Alto Networks veröffentlichten Sicherheitspatch an, sobald er für Ihre Version verfügbar ist; da es sich um eine Schwachstelle im KEV-Katalog handelt, sollte die Priorität hoch sein [2].
• Überprüfen Sie die VPN-Verbindungsprotokolle der letzten Wochen auf Sitzungen, die von ungewöhnlichen Standorten, Zeiten oder Geräten aus gestartet wurden.
• Wenn Sie Hinweise auf unbefugten Zugriff feststellen, sollten Sie erwägen, Zugangsdaten zu rotieren und die nachfolgende Aktivität dieser Sitzungen innerhalb des Netzwerks zu überprüfen.
• Stärken Sie den VPN-Zugriff mit Multi-Faktor-Authentifizierung, wo diese noch nicht aktiviert ist, als zusätzliche Verteidigungsebene.
• Beschränken Sie so weit wie möglich, welche internen Ressourcen von einer neu hergestellten VPN-Sitzung aus erreichbar sind, um die Auswirkungen zu verringern, falls sich eine Verbindung als betrügerisch herausstellt.

Häufig gestellte Fragen

Wird diese Schwachstelle derzeit aktiv ausgenutzt?

Ja, CISA führt sie in ihrem Katalog aktiv ausgenutzter Schwachstellen (KEV), was auf eine bestätigte reale Ausnutzung hinweist [2].

Betrifft es Panorama oder Cloud NGFW?

Nein. Die technische Beschreibung selbst gibt ausdrücklich an, dass Panorama und Cloud NGFW von diesem Problem nicht betroffen sind [1].

Wie hoch ist der Schweregrad gemäß den offiziellen Standards?

NVD vergibt einen CVSS-Wert von 7.8, eingestuft als Schweregrad "hoch" [1]; die Aufnahme in den KEV-Katalog von CISA erhöht die praktische Dringlichkeit zum Handeln, unabhängig von der Punktzahl [2].

Reicht es aus, eine Firewall zu haben, um geschützt zu sein?

Nicht unbedingt: Das Problem liegt in der Authentifizierung der VPN-Komponente selbst, weshalb die Abhilfe darin besteht, PAN-OS zu patchen und Zugriffe zu überprüfen, nicht nur aktive Firewall-Regeln zu haben.

Quellen

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-0257
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json