Cyber Security Alarm: aktiver Betrieb von CVE-2026-0257 in PAN-OS Global Protect ermöglicht die Authentifizierung ohne Anmeldeinformationen

Palo Alto Networks hat gewarnt, dass aktive gefährdete Betriebe CVE-2026-0257 bereits in PAN-OS beobachtet werden, die mit dem GlobalProtect Portal und Gateway zusammenhängen. Ursprünglich als mittleres Gewicht katalogisiert, weil es bestimmte Konfigurationen erfordert - wie die Verwendung von Authentifizierungs-Stornierungs-Cookies (Authentisierung überschreiben Cookies) und eine bestimmte Zertifikatskonfiguration - hat das Unternehmen das Rating auf hoch nach Erkennung von Ausnutzungsversuchen gegen unpatched Geräte.

Der technische Vektor des Ausfalls ist aus betrieblicher Sicht von Bedeutung: PAN-OS defiguriert die Authentifizierungs-Stornierungs-Cookies mit einem konfigurierten privaten Schlüssel und Vertrauen in seine Inhalte, ohne die Unterschrift zu überprüfen. Wenn das gleiche Zertifikat für HTTPS-Dienste und für diese Cookies verwendet wird, kann ein Angreifer das öffentliche Zertifikat über die HTTPS-Sitzung erhalten und unterzeichnete Cookies herstellen, die das Gerät als gültig akzeptieren wird. Rapid7 veröffentlichte ein PoC, das diesen Fluss und dokumentierte operative Beobachtungen seit dem 17. bis 18. Mai, einschließlich Infrastruktur in öffentlichen Hosting-Anbietern wie Vultr und Dromatics Systems, zeigt; Rapid7s Mitteilung enthält technische Details und Chronologie: Rapid7 Analyse.

Dass diese Schwachstelle im CISA-Katalog ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) enthalten ist, bedeutet einen spezifischen Regulierungsdruck: die US-Bundesbehörden. Die USA müssen schnell eine Abschwächung durchführen, und viele private Organisationen müssen sie mit der gleichen Priorität behandeln. Der Eintrag zum Katalog ist hier verfügbar: CISA KEV. Für die offizielle technische Referenz auf der CVE bietet die Registerkarte NVD Details und Nummerierung: CVE-2026-0257 in NVD.

Aus Risikoperspektive gibt es zwei klare Botschaften: zuerst, der Betrieb ermöglicht die Authentifizierung ohne gültige Anmeldeinformationen in der VPN-Komponente, mit der Möglichkeit, inländische Heilmittel zu erreichen, wenn der Angreifer in der Lage ist, die volle Sitzung einzurichten; zweitens, obwohl Rapid7 berichtet, dass in vielen Fällen die VPN-Session nicht abgeschlossen wurde, stellt die Annahme des gefälschten Cookies bereits eine Verpflichtung zum Authentifizierungsprozess dar und muss als solche behandelt werden, bis es sich sonst durch forensische Untersuchungen bewährt hat.

Die unmittelbaren Maßnahmen der Sicherheitsteams sind klar und dringend. Vor allem, die offiziellen Patches von Palo Alto anwenden so schnell wie möglich; das Patch ist die endgültige Korrektur. Wenn aus Kompatibilitätsgründen nicht sofort aktualisiert werden kann, sollte eine vorübergehende Minderung angewendet werden: die Funktionalität der Authentifizierung überschreiben Cookies deaktivieren oder sicherstellen, dass das für Cookies verwendete Zertifikat exklusiv ist und nicht für HTTPS-Dienste wiederverwendet wird. Palo Alto unterhält eine Kommunikation mit den Anweisungen, die Schritt für Schritt verfolgt werden sollten.

Neben dem Patch und den Minderungen in der Anwendung ist eine Erkennungs- und Antwortarbeit unerlässlich: die Überprüfung von GlobalProtect-Log für ungewöhnliche Authentifizierungsversuche, die Suche nach etablierten Sitzungen aus den jüngsten externen PIs, die mit beobachteten Vektoren verbunden sind, und die Überprüfung von Änderungen in Verwaltungskonten. Wenn ein Verdacht auf unberechtigten Zugriff besteht, ist es angebracht, die betroffenen Geräte aus dem internen Netzwerk zu isolieren, Festplattenbilder und Speicherspins zu bewahren und einen digitalen Antwortprozess zu aktivieren, der mit dem forensischen Team koordiniert wird.

Zusätzliche Sicherheitsmaßnahmen sollten nicht vergessen werden: Netzsegmentierung, um den Umfang eines kompromittierten VPNs zu begrenzen, das Anziehen von Remote-Management (administrativer Zugriff begrenzt durch separate IP- oder VPN-Kontrolllisten) und Schlüssel-/Zertifikat-Rotation, wenn es eine Möglichkeit gibt, dass sie ausgefiltert wurden. Durchführen oder Verstärken von Verhaltensüberwachungssteuerungen und bestimmten Alarmen für unerwartete Anmeldung kann die Zeit zum Nachweis reduziert werden.

Dieser Vorfall ist organisatorisch eine Erinnerung, dass Standardkonfigurationen oder die Wiederverwendung kryptografischer Geräte das Risiko verstärken. Zertifikatsmanagement-Praktiken, Asset Inventar und regelmäßige Konfigurationstests (einschließlich Job-Reviews wie Override) sollten Teil von Sicherheitsmanagement-Programmen sein. Plot- und Workflow-Management-Tools, die den aktiven Betrieb CVE priorisieren, sind unerlässlich, um das Belichtungsfenster zu reduzieren.

Für Teams, die GlobalProtect-Anwendungen verwalten, ist meine abschließende praktische Empfehlung nicht davon auszugehen, dass "es keinen Beweis für die laterale Bewegung gibt" bedeutet, dass es kein Risiko gibt: jede Erkennung als potenzielles Engagement zu behandeln, Patches anzuwenden, verpflichtete Zertifikate zu ändern, administrativen Zugang zu prüfen und gegebenenfalls Kunden und Regulierungsbehörden nach einleitenden Richtlinien zu melden. Die Seite Palo Alto mit den Indikationen und Patches ist der technische Ausgangspunkt, der sofort konsultiert werden soll: Palo Alto Networks Seite auf CVE-2026-0257.