Aktiver Betrieb von CVE 2026 0257 in PAN OS und GlobalProtect öffnet Türen für das interne Netzwerk

Palo Alto Networks hat bestätigt, dass eine Authentifizierungslücke in PAN-OS und Prisma Access, registriert als CVE-2026-0257(CVSS 7.8) wird aktiv genutzt, um über GlobalProtect unautorisierte VPN-Verbindungen zu etablieren. Das spezifische Risikomerkmal ist das sogenannte "Authentication Override", wenn es auf Portalen oder Gateways aktiviert wird und es eine bestimmte Kombination von Zertifikaten gibt; unter diesen Bedingungen können die Angreifer die Steuerungen ziehen und gültige VPN-Sitzungen an das interne Netzwerk erhalten.

Die wichtige Sache, jenseits der mittelhohen Punktzahl der CVE, ist die Bestätigung der Ausbeutung in realen Umgebungen: Rapid7 dokumentierte erfolgreiche Verpflichtungen vom 17. Mai und eine zweite Welle am 21. Mai, die dem gleichen Schauspieler zugeschrieben wurde, und Palo Alto Networks aktualisierte seine Mitteilung, indem er begrenzte Versuche auf unpatched Geräten erkannte. In mindestens zwei gemeldeten Fällen erlaubte die Operation die Zuordnung von VPN IP nach dem Umgang mit dem Authentifizierungs-Cookie und damit den Zugang zu heimischen Ressourcen, obwohl bisher in diesen jeweiligen Umgebungen keine Nachverfolgungsaktivitäten gemeldet wurden.

Dieser Vorfall passt zu einem breiteren Trend: Grenzanwendungen und Endpoints-Management-Lösungen werden zunehmend auf Angriffsketten ausgerichtet, die darauf abzielen, den ersten Zugang zu erhalten und Anmelde-Diebe einzusetzen. Zum Beispiel wurde die jüngste Operation eines Ausfalls in FortiClient EMS (CVE-2026-35616, CVSS 9.1) verwendet, um die EKZ Infosealer Anmeldeinformationen Dieb Malware, die betont, dass kompromittierte VPN-Zugriff kann der erste Schritt für Exfiltration Kampagnen und laterale Bewegung. Die NVD-Datenbank ist für amtliche Verweise auf diese EQs verfügbar: CVE-2026-0257 und CVE-2026-35616 sowie die Kommunikation des Lieferanten auf seinem Sicherheitsportal Palo Alto Networks Sicherheitsberatung.

Die Auswirkungen auf eine Organisation mit betroffenen Geräten sind klar: Ein Authentifizierungs-Bypass an einem Grenz-VPN bedeutet direktes Risiko für die Vertraulichkeit und Integrität des internen Netzwerks. Auch wenn der Schauspieler nach der Sitzung keine zusätzliche Aktivität durchführt, ermöglicht die bloße Fähigkeit, ein VPN zu etablieren, interne Dienste zu erkunden, Anmeldeinformationen zu testen oder Erkennungstools bereitzustellen, die spätere Angriffe erleichtern.

Sofortige praktische Empfehlungen sollten die Mediation und den Nachweis priorisieren. Für die Dringlichkeit müssen die Organisationen die offiziellen Lieferantenpatches anwenden, sobald sie verfügbar und validiert sind; wenn dies nicht sofort geschehen kann, muss es Deaktivieren der Authentifizierungs-Overrid-Funktion oder als alternative Minderung ein neues Zertifikat erzeugen, das ausschließlich für die Override-Funktion verwendet wird und das vorherige Zertifikat von jeder allgemeinen Verwendung entfernt. Darüber hinaus ist es wichtig, GlobalProtect-Datensätze zu überprüfen, um ungewöhnliche Sitzungen zu identifizieren, VPN-IP-Beauftragungen mit legitimer Anmeldung zu korrelieren und nach unbefugten Zugriffszeichen zu suchen.

Aus einer breiteren defensiven Sicht, diese Art von Zwischenfällen Kräfte zur Stärkung der Kontrollen: implementieren robuste Multifaktor-Authentifizierung für VPN-Zugang, Netzwerksegmentierung, um das zu begrenzen, was eine Kompromisssitzung erreichen kann, Null-Konfidenz-Politiken in Remote-Zugriffs- und Erkennungsfunktionen in Endpunkten und Netzwerken, um anormales Verhalten nach einer Sitzung zu identifizieren. Darüber hinaus sollten Reaktionsteams Verfahren haben, um potenziell gefährdete Geräte zu isolieren, Beweise zu bewahren und forensische Analysen durchzuführen, wenn Seitenaktivität oder Exfiltration nachgewiesen wird.

Für diejenigen, die für die Sicherheit und den Betrieb verantwortlich sind, ist die Lektion doppelt: einerseits, um ein agiles Patching-Programm aufrechtzuerhalten und andererseits davon auszugehen, dass Schwachstellen in Edge-Geräten schnell ausgenutzt werden, so dass kompensatorische Minderung, zentralisierte Telemetrie und Antwortübungen unerlässlich sind. Schließlich hilft die transparente Berichterstattung an den Rest der Organisation über die Notwendigkeit einer Verdrehung von Anmeldeinformationen und die angewandten Minderungsmaßnahmen, das Belichtungsfenster zu reduzieren und eine effektive Reaktion zu koordinieren.