Kritische VPN-Schwachstelle in Palo Alto PAN-OS unter aktivem Angriff
Die US-amerikanische Cybersicherheitsbehörde CISA warnt aktuell vor einer aktiv ausgenutzten Sicherheitslücke in Palo Alto Networks PAN-OS. Die Schwachstelle CVE-2026-0257 betrifft das GlobalProtect-Portal und -Gateway – also genau die Komponente, über die viele Unternehmen ihren VPN-Zugang für Remote-Mitarbeiter bereitstellen.
Die Lücke wurde in den Known Exploited Vulnerabilities (KEV)-Katalog der CISA aufgenommen. Das bedeutet: Es handelt sich nicht um ein theoretisches Risiko, sondern um eine Schwachstelle, die Angreifer bereits aktiv in freier Wildbahn ausnutzen.
Was genau ist das Problem?
Die Schwachstelle ermöglicht es Angreifern, die Authentifizierung im GlobalProtect-VPN zu umgehen. Konkret können sie ohne gültige Zugangsdaten VPN-Verbindungen aufbauen und so in das interne Netzwerk eines Unternehmens eindringen. Der CVSS-Score liegt bei 7.8 (hoch).
Besonders kritisch: GlobalProtect ist bei vielen mittelständischen Unternehmen im DACH-Raum im Einsatz. Wer seine IT-Infrastruktur auf Palo Alto Firewalls aufgebaut hat und Remote-Arbeitsplätze über GlobalProtect anbindet, ist potenziell betroffen.
Palo Alto Networks hat die Schwachstelle Mitte Mai gemeldet und den Sicherheitshinweis zuletzt Ende Mai aktualisiert. Patches stehen bereit – doch viele Unternehmen haben noch nicht reagiert.
Warum trifft es gerade den Mittelstand?
Große Konzerne haben meist dedizierte Security-Teams, die solche CISA-Warnungen innerhalb von Stunden umsetzen. Im Mittelstand sieht die Realität anders aus:
- Knappe IT-Ressourcen: Oft kümmert sich eine Person um die gesamte IT – Firewall-Updates fallen da schnell hinten runter.
- Keine automatisierten Patch-Prozesse: Viele KMU patchen Netzwerk-Infrastruktur manuell und nach Gefühl.
- Falsche Sicherheit: "Wir haben doch eine Firewall" ist ein häufiges Argument – aber wenn die Firewall selbst die Schwachstelle ist, hilft das wenig.
- VPN als Einfallstor: Seit der Pandemie ist VPN-Zugang geschäftskritisch. Genau das macht ihn zum attraktiven Ziel.
Was Sie jetzt tun sollten
Wenn Sie Palo Alto Networks Firewalls mit GlobalProtect einsetzen, sollten Sie sofort handeln:
- Prüfen Sie Ihre PAN-OS-Version: Betroffene Versionen sind im Security Advisory von Palo Alto aufgelistet.
- Patches einspielen: Aktualisieren Sie PAN-OS auf die gepatchte Version. Warten Sie nicht auf das nächste Wartungsfenster.
- Logs prüfen: Suchen Sie in Ihren GlobalProtect-Logs nach ungewöhnlichen VPN-Verbindungen – insbesondere von unbekannten IP-Adressen oder zu unüblichen Zeiten.
- Netzwerk-Segmentierung überprüfen: Selbst wenn ein Angreifer über VPN ins Netz gelangt – kann er sich lateral bewegen? Eine professionelle Sicherheitsanalyse deckt solche Schwachstellen auf.
- Multi-Faktor-Authentifizierung (MFA): Wenn noch nicht geschehen, aktivieren Sie MFA für alle VPN-Zugänge als zusätzliche Schutzschicht.
Der größere Kontext: Angriffswelle auf Netzwerk-Infrastruktur
Die Palo Alto-Lücke ist kein Einzelfall. Anfang Juni warnte die CISA auch vor aktiv ausgenutzten Schwachstellen in Oracle WebLogic-Servern (CVE-2024-21182). Bereits im Mai wurden Angriffe auf Microsoft Exchange Zero-Days und Ivanti EPM beobachtet.
Das Muster ist klar: Angreifer zielen systematisch auf Infrastruktur-Komponenten, die am Netzwerkrand stehen – Firewalls, VPN-Gateways, E-Mail-Server. Diese Systeme sind aus dem Internet erreichbar und bieten bei erfolgreicher Kompromittierung direkten Zugang zum internen Netzwerk.
Für Unternehmen bedeutet das: Patch-Management für Netzwerk-Infrastruktur ist keine Option, sondern Pflicht. Wer hier schläft, riskiert nicht nur Datenverlust, sondern im schlimmsten Fall die Existenz des Unternehmens.
Fazit: Handeln Sie jetzt
Die aktive Ausnutzung der Palo Alto VPN-Sicherheitslücke zeigt einmal mehr: IT-Sicherheit ist kein Projekt, sondern ein fortlaufender Prozess. Gerade VPN-Zugänge als Tor zum Unternehmensnetzwerk müssen höchste Priorität beim Patchen haben.
Wenn Sie unsicher sind, ob Ihre Infrastruktur betroffen ist oder wie Sie Ihr Unternehmen besser schützen können – sprechen Sie uns an. AntiLeaks unterstützt mittelständische Unternehmen dabei, Sicherheitslücken zu identifizieren und zu schließen, bevor Angreifer sie ausnutzen.