SECURITY ADVISORY

Authentifizierungs-Bypass in Palo Alto GlobalProtect

Nicht authentifizierter Auth-Bypass im GlobalProtect-Portal/Gateway: Angreifer fälschen gültige Sitzungs-Cookies und bauen eine VPN-Verbindung bis Administrator-Rechte auf. Aktiv ausgenutzt seit Mai 2026, im CISA-KEV-Katalog.

CVE-ID

CVE-2026-0257

CVSS

7,8

Schweregrad

Hoch

Hersteller

Palo Alto Networks

Produkt

PAN-OS GlobalProtect

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Verwundbare PAN-OS-Versionen vertrauen jedem Auth-Override-Cookie, das sie entschlüsseln können – ohne zu prüfen, ob das Gerät es selbst ausgestellt hat. Wird für den GlobalProtect-HTTPS-Dienst und die Cookie-Verschlüsselung dasselbe Zertifikat verwendet, kann ein Angreifer die Zertifikatskette vom öffentlichen Portal abrufen und gültige Cookies für beliebige Nutzer fälschen – inklusive Administrator.

Angriffskette

  1. Portal exponiert – GlobalProtect ist aus dem Internet erreichbar
  2. Zertifikat abgreifen – Kette vom öffentlichen HTTPS-Dienst laden
  3. Cookie fälschen – gültiges Auth-Override-Cookie für jeden Nutzer erzeugen
  4. Zugang – VPN-Verbindung als beliebiger Nutzer bis Administrator

Betroffene Versionen und Fixes

PAN-OS-ZweigVerwundbarFixversion
10.2< 10.2.18-h610.2.18-h6
11.1< 11.1.1511.1.15
11.2< 11.2.12 (mehrere h-Zweige)11.2.12
12.1< 12.1.7 / 12.1.4-h612.1.7
Prisma Access10.2 &amp; 11.2Rollout mit Palo Alto abstimmen
Cloud NGFW · Panoramanicht betroffen

Angreifbar nur bei aktiven Auth-Override-Cookies und gemeinsamem Zertifikat für HTTPS-Dienst und Cookie-Verschlüsselung. Exakte Build-Ranges gegen das Hersteller-Advisory des eigenen Zweigs abgleichen.

Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • 13.05.2026 – Palo Alto veröffentlicht Advisory
  • 17.05.2026 – Erste aktive Ausnutzung beobachtet
  • 29.05.2026 – CISA KEV · CVSS 4,7 → 7,8 · PoC öffentlich
  • Seither – In Wellen ausgenutzt – kaum Lateral Movement

Maßnahmenplan

In dieser Reihenfolge – Mitigation vor Patch, Patch vor Entwarnung.

  • Sofort: Mitigation aktivieren
  • Kurzfristig: Patch einspielen
  • Parallel: Threat Hunting / IoC-Abgleich
  1. Betroffenheit feststellen
    In der GlobalProtect-Konfiguration prüfen: Portal/Gateway aktiv? Auth-Override-Cookies eingeschaltet? Dieselbe Zertifikatszuordnung wie beim HTTPS-Dienst? Nur diese Kombination ist angreifbar – Portal und Gateway getrennt kontrollieren.
  2. Sofort mitigieren (vor dem Patch)
    Eigenes Zertifikat ausschließlich für Auth-Override-Cookies erzeugen – oder das Feature deaktivieren. Von Palo Alto als Behelf bei Phasen-Upgrades benannt:
    set global-protect enable-auth-override-cookie-hmac no
  3. Patchen
    Auf die Fixversion des eigenen Zweigs aktualisieren (10.2.18-h6 · 11.1.15 · 11.2.12 · 12.1.7 bzw. h-Fix). Nach dem Upgrade ist eine Neu-Anmeldung aller Nutzer erwartetes Verhalten – Cookies werden sicher neu erzeugt.
  4. Kompromittierung ausschließen
    Auth-Logs auf Cookie-Anmeldungen an Admin-/lokalen Konten aus unerwarteten Quellen durchsuchen und die IoCs unten abgleichen. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.
  5. Prisma Access gesondert bewerten
    Auch Cloud-basierte Prisma-Access-Umgebungen (10.2 / 11.2) sind betroffen – Patch-/Rollout-Status direkt mit Palo Alto abstimmen. Herstellerseitige Threat-Prevention-/IPS-Signaturen einspielen, sofern für diese Schwachstelle verfügbar.

Kompromittierungs-Indikatoren

  • Log-Endpunkte (POST): /ssl-vpn/hipreport.esp
    /ssl-vpn/getconfig.esp
  • Auffällige Marker: Hostnamen DESKTOP-GP01, GP-CLIENT, Jocker
    gefälschte MAC aa:bb:cc:dd:ee:ff
  • Angreifer-Quell-IPs: 104.207.144.154 · 209.99.191.137
    146.19.216.119 / .120 / .125
    79.130.26.202

Zur Einordnung: Die Log-Endpunkte sind reguläre GlobalProtect-Aufrufe – auffällig nur in Verbindung mit Cookie-Auth an Admin-Konten aus fremden Quellen. IPs und Hostnamen sind eine Momentaufnahme der beobachteten Kampagne und flüchtig – kein Ersatz für die Analyse Ihrer Authentifizierungs-Logs.

Wichtig: Erfolgreiche Anmeldungen erscheinen als reguläre „Cookie"-Authentifizierung an gültigen Konten – ohne Alarm. Ohne kontinuierliche Auswertung der Auth-Logs bleibt ein bereits erfolgter Zugriff unsichtbar.

Empfehlung für die Geschäftsleitung

  • Mitigation heute anordnen, Patch innerhalb von 72 Stunden einplanen.
  • Prüfen lassen, ob bereits ein Zugriff erfolgt ist – dokumentiert für eine etwaige Meldung.
  • Über eine dauerhafte Überwachung des Perimeters entscheiden.

Primärquellen

Palo Alto Networks Security Advisory CVE-2026-0257 · Rapid7 Emergent Threat Report · Unit 42 Threat Brief · CISA Known Exploited Vulnerabilities Catalog. Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Die Cookie-Anmeldung an einem Admin-Konto und anomale VPN-Logins. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • LAUFENDE LEISTUNG

    Managed XDR – Extended Detection and Response →

    Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.