Palo Alto PAN-OS: Authentifizierungsumgehung in GlobalProtect

Zusammenfassung

Eine Schwachstelle im GlobalProtect-Portal und -Gateway von PAN-OS erlaubt es einem Angreifer, die Authentifizierung zu umgehen und eine unautorisierte VPN-Verbindung aufzubauen. Die Ursache ist das Vertrauen auf Cookies ohne Prüfung der Gültigkeit und Integrität (CWE-565) in der Funktion für die Authentifizierungsüberschreibung. Voraussetzung ist, dass Authentication-Override-Cookies aktiviert sind und eine bestimmte Zertifikatskonfiguration vorliegt. Panorama und Cloud NGFW sind nicht betroffen; Palo Alto meldet begrenzte Ausnutzungsversuche, und CISA führt die Schwachstelle im KEV-Katalog als in Ransomware-Kampagnen genutzt.

Betroffen

• PAN-OS 12.1.0 bis unter 12.1.7 (ausser 12.1.4-h6 und neuer)
• PAN-OS 11.2.0 bis unter 11.2.12 (korrigierte Builds gemäss Herstellertabelle, z. B. 11.2.10-h7, 11.2.7-h14, 11.2.4-h17)
• PAN-OS 11.1.0 bis unter 11.1.15 (korrigierte Builds gemäss Herstellertabelle, z. B. 11.1.13-h5, 11.1.10-h25, 11.1.7-h6, 11.1.6-h32, 11.1.4-h33)
• PAN-OS 10.2.0 bis unter 10.2.18-h6 (korrigierte Builds gemäss Herstellertabelle, z. B. 10.2.16-h7, 10.2.13-h21, 10.2.10-h36, 10.2.7-h34)
• Prisma Access 10.2 und 11.2 (vor 10.2.10-h36 bzw. 11.2.7-h13, Aktualisierung durch den Hersteller)
• Nicht betroffen: Cloud NGFW, Panorama
• Ältere, nicht mehr unterstützte PAN-OS-Versionen: korrigierte Version unbekannt, Upgrade auf eine unterstützte Version erforderlich

Behoben in

• PAN-OS 12.1.7 oder neuer, oder 12.1.4-h6
• PAN-OS 11.2.12 oder neuer, oder 11.2.10-h7, 11.2.7-h14, 11.2.4-h17
• PAN-OS 11.1.15 oder neuer, oder 11.1.13-h5, 11.1.10-h25, 11.1.7-h6, 11.1.6-h32, 11.1.4-h33
• PAN-OS 10.2.18-h6 oder neuer, oder 10.2.16-h7, 10.2.13-h21, 10.2.10-h36, 10.2.7-h34
• Prisma Access: Aktualisierung durch den Hersteller gemäss eigenem Zeitplan
• Hinweis: GlobalProtect-Benutzer müssen sich nach dem Upgrade einmalig neu authentifizieren, auch wenn ein gültiges Cookie vorhanden ist.

Umgehung

• Ein dediziertes Zertifikat ausschliesslich für Authentication-Override-Cookies verwenden; das Portal- oder Gateway-Zertifikat nicht wiederverwenden.
• Die Optionen für Authentication Override (Cookies generieren und akzeptieren) in der GlobalProtect-Portal- und Gateway-Konfiguration deaktivieren.
• Workarounds ersetzen das Patchen nicht.

Ausnutzung

• Aktiv ausgenutzt: Palo Alto meldet begrenzte Ausnutzungsversuche gegen ungepatchte Geräte ohne Schutzmassnahmen.
• Am 2026-05-29 in den CISA-KEV-Katalog aufgenommen; gemeldete Nutzung in Ransomware-Kampagnen.
• CISA SSVC: Ausnutzung aktiv, nicht automatisierbar, technische Auswirkung total.

Unsere Empfehlung

• Prüfen, ob GlobalProtect-Portale oder -Gateways Authentication-Override-Cookies verwenden, gemäss den Schritten des Herstellers.
• Aus dem Internet erreichbare GlobalProtect-Systeme prioritär auf eine korrigierte Version aktualisieren.
• Falls ein sofortiges Patchen nicht möglich ist, die Workarounds anwenden und die Zertifikatskonfiguration überprüfen.
• VPN-Logs auf unerwartete Sitzungen und cookiebasierte Anmeldungen prüfen; Cloud NGFW und Panorama separat betrachten (nicht betroffen).

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (7 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  sfewer-r7/CVE-2026-0257 · akashsingh0454/CVE-2026-0257-PoC · HORKimhab/CVE-2026-0257 · 0xBlackash/CVE-2026-0257 · tushargurav28/CVE-2026-0257

Quellen der Recherche

• Palo Alto Networks Security Advisory CVE-2026-0257 security.paloaltonetworks.com
• Siemens SSA-967325 cert-portal.siemens.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• Rapid7 observed exploitation of PAN-OS GlobalProtect authentication bypass www.rapid7.com
• Horizon3.ai CVE-2026-0257 analysis horizon3.ai
• CCB Belgium advisory on actively exploited PAN-OS vulnerability ccb.belgium.be
• Triskele Labs CVE-2026-0257 analysis www.triskelelabs.com
• The Hacker News: PAN-OS GlobalProtect authentication bypass thehackernews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:00.