Palo Alto Networks PAN-OS: Remote Code Execution in Management-Schnittstelle

Zusammenfassung

Eine Code-Injection-Schwachstelle (CWE-94) in der Management-Schnittstelle von PAN-OS auf PA-Series- und VM-Series-Firewalls sowie auf Panorama erlaubt einem authentifizierten Angreifer mit Netzwerkzugriff, beliebigen Code mit Root-Rechten auf dem Gerät auszuführen. Cloud NGFW und Prisma Access sind nicht betroffen. Für die Ausnutzung sind gültige Zugangsdaten mit hohen Privilegien nötig, und der Hersteller meldet eine sehr begrenzte aktive Ausnutzung. Die CISA hat die Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen.

Betroffen

• PAN-OS 12.2.0 bis unter 12.2.4
• PAN-OS 12.1.0 bis unter 12.1.10-h2 (Builds je Zweig im Advisory des Herstellers aufgeführt)
• PAN-OS 11.2.0 bis unter 11.2.16
• PAN-OS 11.1.0 bis unter 11.1.16-h3
• PAN-OS 10.2.0 bis unter 10.2.18-h12
• Ältere, nicht mehr unterstützte PAN-OS-Versionen: keine Korrektur verfügbar, Upgrade auf eine unterstützte korrigierte Version nötig
• Betroffene Produkte: PA-Series- und VM-Series-Firewalls, Panorama (virtuell und M-Series)

Behoben in

• PAN-OS 12.2: Upgrade auf 12.2.4 oder neuer
• PAN-OS 12.1: Upgrade auf 12.1.10-h2 oder neuer (12.1.7-h8 und 12.1.4-h12 sind für ihren Zweig ebenfalls korrigierte Builds)
• PAN-OS 11.2: Upgrade auf 11.2.16 oder neuer (11.2.13-h3, 11.2.10-h15, 11.2.7-h21 und 11.2.4-h22 sind für ihren Zweig ebenfalls korrigierte Builds)
• PAN-OS 11.1: Upgrade auf 11.1.16-h3 oder neuer
• PAN-OS 10.2: Upgrade auf 10.2.18-h12 oder neuer
• Den genauen Build für jeden Zweig vor der Planung in der Tabelle des Herstellers-Advisory prüfen.

Umgehung

• Für diese Schwachstelle sind keine Workarounds bekannt.
• Kunden mit Threat-Prevention-Abonnement erhalten eine eingeschränkte Abdeckung mit den Threat IDs 510046 und 510047 (Content-Version 9159-10287 und neuer). Die Abdeckung ist unvollständig, und diese Threat IDs erfordern SSL Decryption sowie eine bestimmte Konfiguration des Datenverkehrs.
• Zugriff auf die Management-Schnittstelle auf vertrauenswürdige interne IP-Adressen oder einen Jump Host beschränken und die Schnittstelle nicht dem Internet aussetzen.

Ausnutzung

• Eine sehr begrenzte Ausnutzung wurde gegen die Management-Schnittstelle von Palo Alto Networks beobachtet.
• Seit dem 14.10.2026 im CISA-Katalog KEV; die CISA hat als Frist für die Behebung den 17.10.2026 gesetzt.
• Für den Angriff ist ein authentifizierter Angreifer mit Netzwerkzugriff und hohen Privilegien nötig.
• Verwendung in Ransomware-Kampagnen bekannt: Unbekannt.

Unsere Empfehlung

• Alle betroffenen PAN-OS-Geräte und Panorama umgehend auf einen im Advisory des Herstellers genannten korrigierten Build aktualisieren. Nicht mehr unterstützte Versionen durch eine unterstützte Version ersetzen.
• Bis zur Aktualisierung den Zugriff auf die Management-Schnittstelle auf vertrauenswürdige interne Netze oder einen Jump Host beschränken und keinen Internetzugriff zulassen.
• Vor der Aktualisierung prüfen, ob die Management-Schnittstelle aus nicht vertrauenswürdigen Netzen erreichbar war, und die Protokolle auf unerwartete Administrator-Anmeldungen und Konfigurationsänderungen prüfen.
• Multi-Faktor-Authentifizierung und persönliche Administrator-Konten durchsetzen sowie die Arbeitsstationen der Administratoren für die Firewall-Verwaltung härten.
• Bei einer Exponierung des Geräts die Hinweise der CISA zur forensischen Triage befolgen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Ife-ella/CVE-vulnerability

Quellen der Recherche

• Palo Alto Networks security advisory CVE-2026-0322 security.paloaltonetworks.com
• CISA KEV catalog entry CVE-2026-0322 www.cisa.gov
• CISA alert: four known exploited vulnerabilities added (14 Oct 2026) www.cisa.gov
• Help Net Security: CVE-2026-0322 exploited www.helpnetsecurity.com
• BleepingComputer: Palo Alto Networks warns of PAN-OS RCE flaw exploited in attacks www.bleepingcomputer.com
• SOC Prime: CVE-2026-0322 analysis socprime.com
• Kudelski Security research: PAN-OS management interface RCE kudelskisecurity.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:38.