Palo Alto Networks PAN-OS: Qilin-Ransomware nach Ausnutzung von CVE-2026-0257

Die Authentifizierungs-Bypass-Schwachstelle CVE-2026-0257 (CVSS 7.8) in den Portal- und Gateway-Komponenten von Palo Alto Networks PAN-OS wird nach Angaben der Forschenden von Arctic Wolf aktiv von Angreifern als initialer Vektor genutzt, um anschließend die Ransomware Qilin (auch bekannt als Agenda) zu verteilen. Die Schwachstelle wurde vom Hersteller bereits behoben. Organisationen, die PAN-OS mit aktivierten Authentication-Override-Cookies einsetzen, müssen umgehend prüfen, ob der Patch installiert ist, und VPN-Sitzungen auf unbefugte Zugriffe auditieren.

Technische Details der Schwachstelle

Wie Arctic Wolf Labs berichtet, untersuchte das Unternehmen im Juni 2026 mehrere Vorfälle, die mit der Ausnutzung von CVE-2026-0257 begannen. Die Schwachstelle betrifft die Portal- und Gateway-Komponenten von PAN-OS und ermöglicht es nicht authentifizierten, entfernten Angreifern, den Authentifizierungsmechanismus zu umgehen und VPN-Sitzungen ohne gültige Zugangsdaten aufzubauen. Voraussetzung ist, dass Authentication-Override-Cookies bei bestimmten Zertifikatskonfigurationen aktiviert sind.

Der Eintrag zur Schwachstelle ist in der NVD-Datenbank verfügbar. Die CVSS-Bewertung liegt bei 7.8 (hohe Kritikalität). Zum Zeitpunkt der Veröffentlichung ist die Schwachstelle nicht im CISA-KEV-Katalog aufgeführt.

Angriffskette und Taktiken der Angreifer

Den Forschenden zufolge bauten die Angreifer nach der Ausnutzung der Schwachstelle SSL-VPN-Sitzungen auf, um authentifizierten Zugriff auf das Netzwerk des Opfers zu erhalten. Die anschließende Angriffskette umfasste folgende Phasen:

• Sammlung von Zugangsdaten – Kompromittierung administrativer Konten zur Erweiterung der Zugriffsmöglichkeiten
• Laterale Bewegung – Nutzung von PsExec und administrativen Windows-Freigaben zur Ausbreitung im Netzwerk
• Platzierung der Payload – Staging des Ransomware-Payloads im Verzeichnis C:\PerfLogs\
• Umgehung der Erkennung – Bereinigung der Windows-Ereignisprotokolle und Deaktivierung des Microsoft Defender-Echtzeitschutzes vor dem Start der Ransomware
• Persistenz in der Umgebung – ungewöhnliches Persistenzmuster über die Windows-Registry: ein Sternchen-Symbol, gefolgt von sechs zufälligen lateinischen Kleinbuchstaben

Bemerkenswert ist, dass der Ransomware-Payload mit einem Passwort geschützt war, was die automatisierte Analyse und Erkennung zusätzlich erschwert.

Variabilität der Post-Exploitation-Aktivitäten

Trotz gemeinsamer Muster beim initialen Zugriff und beim Staging stellte Arctic Wolf erhebliche Unterschiede in den Aktivitäten nach der Kompromittierung bei verschiedenen Opfern fest. Die Forschenden identifizierten mehrere Szenarien:

• Schnelle Verschlüsselung – umfangreiche Verschlüsselung der Unternehmensinfrastruktur ohne vorherige Datenexfiltration
• Aufklärung und Fernzugriff – Deployment von AnyDesk, Ngrok oder LogMeIn für erweiterte Aufklärung
• Doppelte Erpressung – massenhafter Diebstahl von Zugangsdaten und Exfiltration von Daten in den Cloud-Dienst MEGA unter Verwendung von Rclone, Proton Drive und FileZilla vor dem Start der Ransomware

Nach Einschätzung von Arctic Wolf ist eine solche Variabilität typisch für das Modell „Ransomware as a Service“ (RaaS), bei dem mehrere affiliierte Gruppen eine gemeinsame Infrastruktur für den initialen Zugriff und ein einheitliches Verschlüsselungs-Toolkit nutzen, jedoch jeweils eigene bevorzugte Post-Exploitation-Methoden anwenden. Diese Annahme wird durch die beobachteten Taktiken gestützt, ist jedoch weder durch Strafverfolgungsbehörden noch durch den Hersteller bestätigt.

Bedrohungskontext

Qilin (Agenda) ist eine aktive Gruppe, die nach dem RaaS-Modell agiert. Das beobachtete Bild, bei dem ein einheitlicher Einstiegspunkt über eine Schwachstelle in einem Perimetergerät von unterschiedlichen Operatoren mit abweichenden Post-Exploitation-Methodiken genutzt wird, weist auf die Reife des operativen Modells der Gruppe hin. Der Einsatz von Cloud-Diensten (MEGA, Proton Drive) zur Datenexfiltration spiegelt die Tendenz wider, legitime Plattformen zu missbrauchen, was die Erkennung auf Ebene des Netzwerkmonitorings erschwert.

Auswirkungsanalyse

Gefährdet sind alle Organisationen, die PAN-OS mit aktivierten Authentication-Override-Cookies in Portal- und Gateway-Komponenten einsetzen. Angesichts der weiten Verbreitung der Lösungen von Palo Alto Networks im Unternehmensumfeld und der Rolle von VPN-Gateways als Einstiegspunkt in den geschützten Perimeter ist das potenzielle Ausmaß der Auswirkungen erheblich. Eine erfolgreiche Ausnutzung verschafft Angreifern vollwertigen authentifizierten Zugriff auf das interne Netzwerk, was bei fehlender wirksamer Segmentierung zu einer vollständigen Kompromittierung der Infrastruktur führen kann.

Empfehlungen

1. Patch installieren – stellen Sie sicher, dass PAN-OS auf eine Version aktualisiert wurde, die CVE-2026-0257 behebt. Prüfen Sie den Update-Status anhand der offiziellen Empfehlungen von Palo Alto Networks.
2. Konfiguration prüfen – auditieren Sie die Einstellungen der Authentication-Override-Cookies und der Zertifikatskonfigurationen auf PAN-OS-Portalen und -Gateways.
3. Retrospektive Analyse durchführen – überprüfen Sie die Protokolle der VPN-Sitzungen für Juni 2026 auf ungewöhnliche Verbindungen, insbesondere von unbekannten Quellen.
4. Monitoring von Indikatoren – überwachen Sie das Auftreten von Dateien im Verzeichnis C:\PerfLogs\, den Einsatz von PsExec über administrative Freigaben sowie ungewöhnliche Registry-Einträge in Windows, die dem Muster „Sternchen + sechs zufällige Buchstaben“ entsprechen.
5. Kontrolle von Remote-Access-Tools – identifizieren und blockieren Sie die unbefugte Nutzung von AnyDesk, Ngrok und LogMeIn in der Unternehmensumgebung.
6. Exfiltration blockieren – beschränken oder überwachen Sie ausgehende Verbindungen zu MEGA, Proton Drive und ähnlichen Cloud-Speicherdiensten.

Diese Kampagne verdeutlicht einen für moderne RaaS-Operationen typischen Ansatz: Die Ausnutzung einer Schwachstelle in einem Perimetergerät verschafft den initialen Zugriff, der anschließend von verschiedenen affiliierten Operatoren monetarisiert wird. Prioritäre Maßnahmen sind die sofortige Überprüfung, ob für CVE-2026-0257 auf allen PAN-OS-Instanzen ein Patch vorliegt, sowie die retrospektive Analyse der VPN-Protokolle zur Identifizierung möglicher Kompromittierungen, die vor dem Update stattgefunden haben.