Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Wissen
SECURITY ADVISORY

Authentifizierungs-Bypass im PAN-OS Management-Interface

Ein nicht authentifizierter Angreifer mit Netzzugang zum PAN-OS-Management-Interface kann die Anmeldung umgehen und bestimmte PHP-Skripte aufrufen – ohne gültige Zugangsdaten. Allein ermöglicht das kein Fernausführen von Code, wohl aber das Auslesen von Konfiguration und sensiblen Daten. In der Praxis wird die Lücke aktiv und in Verkettung mit CVE-2025-0111 und CVE-2024-9474 ausgenutzt, um vollen Gerätezugriff zu erlangen.

CVE-ID

CVE-2025-0108

CVSS

8,8

Schweregrad

Hoch

Hersteller

Palo Alto Networks

Produkt

PAN-OS Management-Web-Interface

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Das PAN-OS-Management-Interface prüft bei bestimmten Anfragen nicht zuverlässig, ob der Aufrufer angemeldet ist (CWE-306, fehlende Authentifizierung für eine kritische Funktion). Ursache ist eine Diskrepanz, wie die vorgelagerte Webserver-Komponente und die dahinterliegende Anwendung Pfade normalisieren – dadurch lassen sich geschützte PHP-Skripte ohne gültige Sitzung erreichen. Ein Aufruf ermöglicht kein direktes Code-Ausführen, aber den Zugriff auf schützenswerte Funktionen und Daten – und dient als Einstieg für die Verkettung mit weiteren Schwachstellen.

Angriffskette

  1. Interface exponiert – das Management-Web-Interface ist aus dem Netz erreichbar
  2. Anmeldung umgehen – ohne Zugangsdaten geschützte PHP-Skripte aufrufen
  3. Verkettung – mit CVE-2025-0111 (Datei-Lesen) und CVE-2024-9474 (Rechteausweitung) kombinieren
  4. Zugriff – Konfiguration und Zugangsdaten auslesen bis zur vollständigen Geräteübernahme

Betroffene Versionen und Fixes

PAN-OS-ZweigVerwundbarFixversion
10.1< 10.1.14-h910.1.14-h9
10.2< 10.2.13-h3 (mehrere h-Zweige)10.2.13-h3
11.1< 11.1.6-h1 (mehrere h-Zweige)11.1.6-h1
11.2< 11.2.5 / 11.2.4-h411.2.5
11.0 · 10.0 · 9.x (EoL)als betroffen anzunehmenauf unterstützten Zweig migrieren
Cloud NGFW · Prisma Accessnicht betroffen—

Angreifbar ist ausschließlich das Management-Web-Interface. Innerhalb der 10.2- und 11.1-Zweige existieren mehrere Hotfix-Stände – die exakte Fixversion gegen das Hersteller-Advisory des eigenen Zweigs abgleichen. End-of-Life-Versionen erhalten keine Fixes und sind zu migrieren.

Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf die Firewall-Verwaltung kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • 12.02.2025 – Palo Alto veröffentlicht Advisory und Patches
  • kurz darauf – Erste Ausnutzungsversuche öffentlich beobachtet; PoC verfügbar
  • 18.02.2025 – CISA KEV · Frist 11.03.2025
  • Seither – Aktiv in Verkettung mit CVE-2025-0111 / CVE-2024-9474 ausgenutzt

Maßnahmenplan

In dieser Reihenfolge – Zugriff einschränken vor Patch, Patch vor Entwarnung.

  • Sofort: Management-Zugriff einschränken
  • Kurzfristig: Patch einspielen
  • Parallel: Threat Hunting / Log-Abgleich
  1. Exposition feststellen
    Prüfen, ob das Management-Web-Interface aus nicht vertrauenswürdigen Netzen erreichbar ist – insbesondere aus dem Internet. Nur exponierte oder von unvertrauten Quellen erreichbare Interfaces sind angreifbar.
  2. Sofort mitigieren (vor dem Patch)
    Zugriff auf das Management-Interface auf vertrauenswürdige interne IP-Adressen beschränken (Best Practice von Palo Alto: Management getrennt vom Datenverkehr, nie direkt aus dem Internet erreichbar). Zusätzlich die Threat-Prevention-Signaturen aktivieren:
    Threat IDs 510000 & 510001 (Applications and Threats 8943+)
  3. Patchen
    Auf die Fixversion des eigenen Zweigs aktualisieren (10.1.14-h9 · 10.2.13-h3 · 11.1.6-h1 · 11.2.5 bzw. der passende h-Fix). End-of-Life-Zweige (11.0, 10.0, 9.x) erhalten keinen Fix und sind auf einen unterstützten Zweig zu migrieren.
  4. Kompromittierung ausschließen
    Management-Zugriffs- und System-Logs auf unauthentifizierte Aufrufe von PHP-Skripten sowie auf Anzeichen der Verkettung mit CVE-2025-0111 / CVE-2024-9474 durchsuchen. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.
  5. Perimeter härten
    Management-Interface dauerhaft aus öffentlichen Netzen herausnehmen, dedizierte Management-Netze/Jump-Hosts nutzen und Content-Updates zeitnah einspielen, damit IPS-Signaturen wirken.

Kompromittierungs-Indikatoren

  • Angriffsfläche: Unauthentifizierte Zugriffe auf das Management-Web-Interface (HTTPS-GUI) und geschützte PHP-Skripte
  • Verkettung: Nachgelagerte Ausnutzung von CVE-2025-0111 (Datei-Lesen) und CVE-2024-9474 (Rechteausweitung)
  • Threat-IDs (IPS): Palo Alto Threat Prevention 510000 · 510001 (Content 8943+)

Zur Einordnung: Die beobachteten Angreifer-Quell-IPs sind flüchtig und wechseln laufend (u. a. über GreyNoise nachverfolgbar) – daher hier bewusst keine statische Liste. Maßgeblich ist die Analyse Ihrer eigenen Management-Zugriffs- und System-Logs auf unauthentifizierte Aufrufe.

Wichtig: Erfolgreiche Zugriffe erscheinen als vermeintlich reguläre Aufrufe des Management-Interfaces – ohne Alarm. Ohne Auswertung der Zugriffs- und System-Logs bleibt ein bereits erfolgter Bypass unsichtbar; ein direkt aus dem Internet erreichbares Management-Interface ist das eigentliche Risiko.

Empfehlung für die Geschäftsleitung

  • Management-Zugriff heute einschränken, Patch innerhalb weniger Tage einplanen.
  • Prüfen lassen, ob bereits ein Zugriff erfolgt ist – dokumentiert für eine etwaige Meldung.
  • Grundsätzlich entscheiden, dass Management-Interfaces nie direkt aus dem Internet erreichbar sind.

Primärquellen

Palo Alto Networks Security Advisory CVE-2025-0108 · NVD (CVSS 3.1 9,1 / CVSS 4.0 8,8, CWE-306) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 18.02.2025, Frist 11.03.2025). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Unauthentifizierte Zugriffe auf das Management-Interface und anomale GUI-Sitzungen. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • PROJEKT

    Penetration Testing →

    Management-Oberflächen sind wiederkehrend betroffen. Ein Test zeigt, welche davon bei Ihnen erreichbar sind, bevor es jemand anderes herausfindet.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.