PAN-OS (Panorama): Authentifizierte Remote Code Execution

Zusammenfassung

Eine Remote Code Execution-Schwachstelle in PAN-OS auf Panorama, der zentralen Verwaltungsappliance für Palo-Alto-Firewalls, erlaubt einem authentifizierten Administrator mit Netzwerkzugriff, beliebigen Code mit Root-Rechten auszuführen. Für den Angriff sind gültige Administrator-Zugangsdaten nötig, und laut Hersteller reduziert die Beschränkung des Zugriffs auf das Management-Interface auf vertrauenswürdige interne IP-Adressen das Risiko deutlich. Cloud NGFW, Prisma Access und eigenständige PAN-OS-Firewalls sind nicht betroffen.

Betroffen

• Panorama mit PAN-OS 12.2.0 bis unter 12.2.4-h2
• Panorama mit PAN-OS 12.1.0 bis unter 12.1.10-h4 (je Branch, siehe Herstellertabelle)
• Panorama mit PAN-OS 11.2.0 bis unter 11.2.16-h2 (je Branch, siehe Herstellertabelle)
• Panorama mit PAN-OS 11.1.0 bis unter 11.1.16-h5 (je Branch, siehe Herstellertabelle)
• Panorama mit PAN-OS 10.2.0 bis unter 10.2.18-h14 (je Branch, siehe Herstellertabelle)
• Nicht mehr unterstützte PAN-OS-Versionen
• Nicht betroffen: Cloud NGFW, Prisma Access, eigenständige PAN-OS-Firewalls

Behoben in

• 12.2: 12.2.4-h2 oder neuer
• 12.1: 12.1.4-h14, 12.1.7-h12 oder 12.1.10-h4 oder neuer (je Branch)
• 11.2: 11.2.4-h24, 11.2.7-h24, 11.2.10-h18, 11.2.13-h5 oder 11.2.16-h2 oder neuer (je Branch)
• 11.1: 11.1.4-h39, 11.1.6-h41, 11.1.7-h13, 11.1.10-h37, 11.1.13-h17 oder 11.1.16-h5 oder neuer (je Branch)
• 10.2: 10.2.7-h40, 10.2.10-h43, 10.2.13-h28, 10.2.16-h13 oder 10.2.18-h14 oder neuer (je Branch)
• Nicht mehr unterstützte Versionen: auf eine unterstützte, korrigierte Version aktualisieren
• Hinweis: Drittanbieter-Trackern nennen nur einen Fix-Build pro Release-Train; massgeblich ist die Herstellertabelle.

Umgehung

Für diese Schwachstelle sind keine Workarounds bekannt.

• Die Beschränkung des Management-Interface auf vertrauenswürdige interne IP-Adressen oder einen Jump-Host reduziert das Risiko, ist aber kein Fix.
• Kunden mit Threat-Prevention-Abonnement erhalten einen eingeschränkten Schutz, wenn die Threat IDs 510045 und 510048 aktiviert werden (SSL Decryption erforderlich).

Ausnutzung

• Palo Alto Networks ist keine missbräuchliche Ausnutzung dieser Schwachstelle bekannt.
• Zum Zeitpunkt der Recherche wurde kein öffentlicher Exploit oder Proof of Concept gemeldet (VulDB, OffSeq).
• Laut einem Drittanbieter-Index ist die Schwachstelle nicht im CISA-KEV-Katalog aufgeführt.

Unsere Empfehlung

• Prüfen Sie, ob Panorama in Ihrer Umgebung eingesetzt wird, und ermitteln Sie die PAN-OS-Version.
• Aktualisieren Sie Panorama auf den korrigierten Build Ihres Release-Trains gemäss Herstellertabelle.
• Beschränken Sie das Management-Interface von Panorama auf vertrauenswürdige interne IP-Adressen oder einen Jump-Host und erzwingen Sie starke Administrator-Authentifizierung sowie MFA, wo unterstützt. Dies ist eine Massnahme zur Risikominderung, kein Fix.
• Überwachen Sie die Herstellerwarnung und den CISA-KEV-Katalog auf Änderungen, da die Informationen aktuell sind.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Palo Alto Networks Security Advisory CVE-2026-0330 security.paloaltonetworks.com
• CVE Record CVE-2026-0330 www.cve.org
• VulDB entry 435972 vuldb.com
• OffSeq threat radar CVE-2026-0330 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 21:23.