Das Unternehmen Palo Alto Networks hat die begrenzte aktive Ausnutzung der kritischen Schwachstelle CVE-2026-0300 in seiner Software PAN-OS bestätigt. Die Schwachstelle vom Typ „buffer overflow“ im Dienst User-ID Authentication Portal ermöglicht es einem nicht authentifizierten Angreifer, durch das Senden speziell gestalteter Netzwerkpakete beliebigen Code mit root-Rechten auszuführen. Nach Angaben der Forschenden wurden erste Exploit-Versuche seit dem 9. April 2026 registriert, und mit der Bereitstellung von Patches ist frühestens am 13. Mai 2026 zu rechnen. Alle Organisationen, die betroffene Geräte einsetzen, müssen den Zugriff auf das User-ID Authentication Portal umgehend einschränken oder den Dienst vollständig deaktivieren.

Technische Details der Schwachstelle

Die Schwachstelle CVE-2026-0300 wurde mit CVSS 9,3/8,7 bewertet (die Abweichung der Bewertungen hängt vermutlich mit Unterschieden zwischen Basis- und Umfeldwerten der CVSS-Bewertung zusammen). Unabhängig vom konkreten Wert wird die Schwachstelle in beiden Fällen der Kategorie kritisch zugeordnet.

Zentrale Merkmale:

• Typ der Schwachstelle: Pufferüberlauf (buffer overflow)
• Betroffene Komponente: Dienst User-ID Authentication Portal in PAN-OS
• Angriffsvektor: Netzwerk, ohne erforderliche Authentifizierung
• Ergebnis einer Ausnutzung: Ausführung beliebigen Codes mit root-Rechten
• Status der Ausnutzung: bestätigte aktive Ausnutzung in realen Angriffen
• Status des Patches: Patches werden ab dem 13. Mai 2026 erwartet

Berichten zufolge erhält ein Angreifer bei erfolgreicher Ausnutzung die Möglichkeit, Shellcode in den laufenden nginx-Prozess auf dem kompromittierten Gerät einzuschleusen. Dies verschafft dem Angreifenden die vollständige Kontrolle über die Firewall – ein Gerät, das per Definition eine privilegierte Position an der Netzgrenze einnimmt.

Angriffsverlauf und Post-Exploitation-Aktivitäten

Nach Angaben der Unit 42 von Palo Alto Networks stellt sich die Chronologie des Vorfalls wie folgt dar:

1. 9. April 2026 – erste erfolglose Exploit-Versuche der Schwachstelle auf einem PAN-OS-Gerät werden registriert
2. Etwa eine Woche später – den Angreifern gelingt eine erfolgreiche Remote Code Execution und das Einschleusen von Shellcode in den nginx-Prozess
3. 29. April 2026 – auf einem zweiten kompromittierten Gerät werden zusätzliche Tools, EarthWorm und ReverseSocks5, bereitgestellt

Unmittelbar nach Erlangung des ersten Zugriffs unternahmen die Angreifer gezielte Schritte zur Spurenverwischung: Sie löschten Meldungen von Kernel-Crashdumps, entfernten Einträge zu nginx-Abstürzen und die zugehörigen Crashdump-Dateien. Ein solches Verhalten weist auf ein hohes Maß an operativer Disziplin und Vertrautheit mit den Logging-Mechanismen von PAN-OS hin.

Die Post-Exploitation-Aktivität umfasste die Auflistung von Objekten in Active Directory – ein klassischer Schritt zur Aufklärung der internen Infrastruktur und Vorbereitung lateraler Bewegungen. Die Bereitstellung der Tunneling-Tools EarthWorm und ReverseSocks5 auf dem zweiten Gerät deutet darauf hin, dass die Angreifer beabsichtigten, sich im Netzwerk festzusetzen und einen verdeckten Kommunikationskanal zur Command-&-Control-Infrastruktur aufzubauen.

Bedrohungskontext

Palo Alto Networks verfolgt diese Aktivität unter der Kennung CL-STA-1132 und beschreibt den Cluster als mutmaßlich staatsnah, jedoch mit bislang ungeklärter Herkunft. Es ist zu betonen, dass diese Attribution auf einer einzigen Quelle beruht und nicht durch unabhängige Untersuchungen bestätigt ist, weshalb ihr mit Vorsicht zu begegnen ist.

Nichtsdestotrotz verdient die taktische Handschrift des Angriffs besondere Aufmerksamkeit. Wie die Forschenden von Unit 42 hervorheben, setzten die Angreifer statt auf proprietäre Malware gezielt auf Tools mit Open-Source-Code. Dieser Ansatz verringert die Wahrscheinlichkeit einer signaturbasierten Erkennung und erlaubt es, im legitimen Netzwerkverkehr „unterzutauchen“. Darüber hinaus nutzten die Angreifer über mehrere Wochen hinweg eine Taktik intermittierender interaktiver Sitzungen, um bewusst unter den Verhaltensschwellen der meisten automatisierten Alarmsysteme zu bleiben.

Der Vorfall fügt sich in einen seit fünf Jahren anhaltenden Trend ein: Nach Einschätzung von Unit 42 nehmen staatlich gesteuerte Gruppen mit Spionagefokus verstärkt Netzwerk-Perimetergeräte ins Visier – Firewalls, Router, IoT-Geräte, Hypervisoren und VPN-Lösungen. Solche Geräte bieten privilegierten Zugriff, verfügen jedoch häufig nicht über umfassendes Monitoring und Security-Agents, wie sie für klassische Endpunkte typisch sind.

Auswirkungsanalyse

Die Schwachstelle stellt eine kritische Bedrohung für jede Organisation dar, in der der Dienst User-ID Authentication Portal aus nicht vertrauenswürdigen Netzsegmenten erreichbar ist. Eine erfolgreiche Kompromittierung der Firewall mit root-Rechten verschafft dem Angreifenden de facto die Kontrolle über einen zentralen Knoten der Netzwerkinfrastruktur, was zu Folgendem führen kann:

• Abfangen und Manipulation des Netzwerkverkehrs
• Umgehung sämtlicher auf dem Gerät implementierter Sicherheitsrichtlinien
• Laterale Bewegungen in interne Netzsegmente
• Kompromittierung von Active-Directory-Anmeldeinformationen
• Einrichtung einer langfristigen, verdeckten Präsenz in der Infrastruktur

Am stärksten gefährdet sind Organisationen mit öffentlich erreichbaren User-ID Authentication Portals sowie solche, die nicht in der Lage sind, den Netzwerkzugriff auf diesen Dienst zeitnah einzuschränken.

Praktische Empfehlungen

Bis zur Veröffentlichung offizieller Patches (erwartet ab dem 13. Mai 2026) sind folgende Maßnahmen erforderlich:

• Zugriff auf den Dienst User-ID Authentication Portal sofort einschränken, indem Verbindungen nur aus vertrauenswürdigen Netzwerkzonen zugelassen werden
• Den Dienst vollständig deaktivieren, sofern er in der aktuellen Konfiguration nicht genutzt wird
• Protokolle prüfen auf ungewöhnliche nginx-Abstürze, nicht erklärbare Löschungen von Crashdumps und verdächtige Verbindungen zum Authentication Portal seit dem 9. April 2026
• Active Directory auditieren im Hinblick auf unautorisierte Enumerationsanfragen, insbesondere wenn diese von Netzwerkgeräten ausgehen
• Auf das Vorhandensein der Tools EarthWorm und ReverseSocks5 in der Netzwerkinfrastruktur prüfen – ihre Präsenz kann auf eine Kompromittierung hindeuten
• Monitoring ausgehender Verbindungen von Perimetergeräten verstärken, mit besonderem Fokus auf untypische SOCKS-Proxys und Tunnel

Angesichts der bestätigten aktiven Ausnutzung und des fehlenden Patches bleibt das Zeitfenster der Verwundbarkeit mindestens bis zum 13. Mai 2026 geöffnet. Organisationen, die betroffene Versionen von PAN-OS einsetzen, sollten die Einschränkung des Zugriffs auf das User-ID Authentication Portal als vorrangige Maßnahme mit sofortiger Umsetzung betrachten. Nach Veröffentlichung der Updates sind die Patches schnellstmöglich einzuspielen und eine rückblickende Analyse auf mögliche Kompromittierungen im Zeitraum zwischen dem 9. April und dem Installationsdatum des Patches durchzuführen.