Über das Management-Interface von PAN-OS kann ein Angreifer mit administrativem Zugang eigenen Code einschleusen und mit Root-Rechten ausführen – auf PA- und VM-Series-Firewalls sowie Panorama. Palo Alto hat die Lücke am 14. Oktober 2026 mit Fixversionen veröffentlicht und meldet sehr begrenzte Ausnutzung; CISA hat sie am selben Tag in den KEV-Katalog aufgenommen – mit forensischer Triage-Pflicht. Einen Workaround gibt es nicht.
Advisory als PDF herunterladenPAN-OS prüft über das Management-Interface nicht ausreichend, welche Eingaben eines angemeldeten Administrators in ausführbaren Code einfließen (Code Injection, CWE-94). Wer sich mit Admin-Rechten anmelden kann, schleust eigene Befehle ein – und die laufen mit Root-Rechten auf dem Betriebssystem von Firewall bzw. Panorama. Besonders kritisch, wenn das Management aus dem Internet oder nicht vertrauenswürdigen Netzen erreichbar ist.
| Produkt / Zweig | Verwundbar | Fixversion |
|---|---|---|
| PAN-OS 12.2 | < 12.2.4 | 12.2.4 |
| PAN-OS 12.1 | < 12.1.10-h2 | 12.1.10-h2 |
| PAN-OS 11.2 | < 11.2.16 | 11.2.16 |
| PAN-OS 11.1 | < 11.1.16-h3 | 11.1.16-h3 |
| PAN-OS 10.2 | < 10.2.18-h12 | 10.2.18-h12 |
Genannt ist je Zweig der jüngste Fixstand; für ältere Wartungsstände gibt es passende Hotfixes (z. B. 12.1.7-h8 · 11.2.13-h3 · 11.1.13-h15 · 10.2.16-h11) – vollständige Liste im Hersteller-Advisory. 11.2.16 wurde am 15.10.2026 nachgereicht. Nicht mehr unterstützte Versionen erhalten keinen Fix. Prisma Access und Cloud NGFW sind nicht betroffen.
Regulatorischer Hinweis: Eine übernommene Firewall oder Panorama-Instanz ist in der Regel ein meldepflichtiger Sicherheitsvorfall – NIS-2 nach den für Sie geltenden Fristen, DSGVO bei personenbezogenen Daten unverzüglich (i. d. R. 72 h). Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung, Forensik und Dokumentation.
In dieser Reihenfolge – Managementzugriff sofort eingrenzen, Patch zügig, Prüfung vor Entwarnung.
show system info | match sw-version510046 und 510047 nutzen – nur mit Management über DP-Port, SSL-Entschlüsselung und begrenzter Abdeckung.12.2.4 · 12.1.10-h2 · 11.2.16 · 11.1.16-h3 · 10.2.18-h12 oder den passenden Hotfix des eigenen Wartungsstands aktualisieren – Panorama eingeschlossen. Vorher Konfigurationssicherung ziehen.66.42.72.14208.83.239.114149.248.47.234510046 / 5100479159-10287Zur Einordnung: Die IP-Adressen und Threat IDs stammen aus dem Palo-Alto-Advisory; dateibasierte Indikatoren hat der Hersteller nicht veröffentlicht. Die Log-Prüfhinweise sind allgemeine Ableitungen aus dem Angriffsweg, keine bestätigten Indikatoren. Infrastruktur ist trivial änderbar – belastbarer ist die Frage, wer sich wann von wo am Management angemeldet hat.
Wichtig: Die Lücke braucht einen Admin-Zugang – wer ausnutzt, sieht im Log aus wie ein Administrator. Wer nur fehlgeschlagene Anmeldungen überwacht, sieht die Übernahme nicht; ein Patch allein beweist nicht, dass niemand drin ist.
Palo Alto Networks Security Advisory CVE-2026-0322 (veröffentlicht 14.10.2026, aktualisiert 15.10.2026) · CVE-Record CVE-2026-0322 (Palo Alto Networks als CNA) · NVD CVE-2026-0322 · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 14.10.2026). Angaben nach bestem Wissen zum Stand 19.10.2026 – gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Admin-Anmeldungen am Firewall-Management von untypischen Quell-IPs oder zu untypischen Zeiten sowie Konfigurationsänderungen und neue Admin-Konten ohne Change. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
PROJEKT
Management-Oberflächen sind wiederkehrend betroffen. Ein Test zeigt, welche davon bei Ihnen erreichbar sind, bevor es jemand anderes herausfindet.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.