LONDON (IT BOLTWISE) – Palo Alto Networks warnt, dass CVE-2026-0257 in PAN-OS und Prisma Access bereits aktiv ausgenutzt wird. Die Schwachstelle erlaubt einen Authentifizierungs-Bypass im GlobalProtect-Portal und -Gateway und kann Angreifern das Einrichten nicht autorisierter VPN-Verbindungen ermöglichen. Nach Angaben von Rapid7 reichen die beobachteten Aktivitäten bis Ende April/Anfang Mai zurück, mit einer zweiten Welle Anfang Mai. Betroffene Organisationen sollen dringend patchen oder die vorgesehenen Workarounds aktivieren.
Palo Alto Networks hat eine Sicherheitswarnung zu CVE-2026-0257 veröffentlicht und dabei betont, dass die Authentifizierungs-Bypass-Lücke bereits „in the wild“ ausgenutzt wird. Konkret betrifft das Problem Teile von PAN-OS sowie die zugehörige Cloud-Komponente Prisma Access, wenn GlobalProtect als Portal oder Gateway konfiguriert ist. Die Einstufung fällt mit einem CVSS-Wert von 7,8 in den Bereich „medium“, der operative Schaden kann jedoch deutlich größer ausfallen: Ein Bypass an einer edge-nahen VPN-Komponente kann den Zugriff auf interne Netze in Gang setzen, ohne dass normale Sicherheitskontrollen greifen. Für Unternehmen wird damit Patch-Dringlichkeit plötzlich sehr real, weil der Angriffspfad stark von bestimmten Konfigurationsdetails abhängt.
Technisch beschreibt der Hersteller eine Situation, in der Angreifer Sicherheitsbeschränkungen umgehen und eine nicht autorisierte VPN-Verbindung aufbauen können. Das Muster ist an die Aktivierung von „authentication override cookies“ gekoppelt und erfordert zusätzlich eine spezifische Zertifikat-Konfiguration. In der Praxis bedeutet das: Nicht jedes Gerät ist automatisch betroffen, aber die Kombination aus GlobalProtect-Rollen und Session- bzw. Cookie-Mechanik schafft einen Weg, der die erwartete Authentifizierung überspringt. Der relevante Schwachstellenbereich liegt in der Verarbeitung der Auth-Logik im Portal/Gateway-Kontext, also dort, wo Nutzeranfragen in VPN-Sitzungen überführt werden.
In seinem Update vom 29. Mai meldete Palo Alto Networks, dass es inzwischen Kenntnis über begrenzte Exploit-Versuche für ungepatchte PAN-OS-Installationen ohne wirksame Mitigierungen gibt. Besonders auffällig ist die zeitliche Dimension: Parallel dazu machte Rapid7 öffentlich, dass die erfolgreiche Ausnutzung bei zahlreichen Kunden identifiziert wurde. Nach den beobachteten Zeitfenstern begannen die Aktivitäten früh ab dem 17. Mai und verstärkten sich in einer zweiten Welle ab dem 21. Mai. Beide Exploit-„Sets“ werden als Arbeit desselben Bedrohungsakteurs bewertet. In dieser zweiten Phase ging es den Angaben zufolge unter anderem um VPN-IP-Zuweisungen nach der Cookie-basierenden Authentifizierung, wodurch Angreifer in Einzelfällen Zugang zum internen Netzwerk erhielten.
Damit verschiebt sich der Fokus von „Patch verfügbar“ hin zu „Patch muss sofort wirksam werden“. Rapid7 ordnet die Lage explizit ein: Ein Authentifizierungs-Bypass in einer enterprise-nahen VPN-Appliance könne erhebliche Auswirkungen haben. Das ist ein wichtiger Markthinweis, weil VPN-Gateways historisch zu den bevorzugten Einstiegspunkten zählen: Sie sehen in der Regel mehr Telemetrie, mehr Angriffsfläche und mehr „Trusted-Bridge“-Logik als klassische Web-Portale. Gleichzeitig zeigt der Fall, wie stark sich die Angriffsrealität an Implementierungsdetails festmacht. Im Vergleich zu generischen Schwachstellen in Webanwendungen liegt hier der Hebel an einer zentralen Identitäts- und Session-Komponente, wodurch sich die Angriffswirkung über die Netzsegmentierung hinweg bemerkbar machen kann.
Als vorübergehende Gegenmaßnahmen nennt Palo Alto Networks zwei pragmatische Workarounds: Entweder deaktivieren Nutzerbetreiber die Funktion „authentication override“ oder sie generieren ein neues Zertifikat, das ausschließlich für den Authentication-Override-Zweck verwendet wird. Diese Empfehlung ist auch aus Sicht von Sicherheitsarchitektur nachvollziehbar, weil sie den Angriffsweg verengt oder die erforderlichen Randbedingungen aufbricht. Für Administratoren ist das relevant, weil schnelle Stabilisierung oft parallel zum Paket-Upgrade erfolgen muss: In vielen Umgebungen sind Wartungsfenster knapp, und VPN-Verfügbarkeit ist kritisch. Dennoch bleibt das Patchen die strategische Maßnahme, zumal sich „begrenzte“ Exploit-Versuche im Verlauf schnell in flächigere Kampagnen verwandeln können.
Der Vorfall passt außerdem in eine breitere Entwicklung, die zuletzt auch durch Berichte zu anderen, bereits gepatchten Schwachstellen sichtbar wurde. So wird im Kontext erwähnt, dass ein weiterer Akteur in Zusammenhang mit FortiClient Endpoint Management Server-Deployments (CVE-2026-35616, CVSS 9.1) die anhaltende Ausnutzung früherer Lücken beobachtet habe. Solche Muster – erst Schwachstelle, dann Credential-Diebstahl oder Malware-Auslieferung – zeigen, wie Angreifer häufig nicht „nur“ eine Session missbrauchen, sondern die gewonnenen Zugriffe in Folgeaktionen übersetzen. In diesem Kontext hat die Wahl des Bedrohungsmodells Bedeutung: Betrifft der Angriff primär die Auth-Phase, werden nachgelagerte EDR-, SIEM- und Segmentierungsmaßnahmen entscheidend, weil sie das Weiterwandern in der Kill-Chain begrenzen sollen.
Für die Markt- und Enterprise-Ebene bedeutet das: GlobalProtect-Setups sollten als Teil einer systematischen Exposure-Analyse behandelt werden. Dazu gehört, Inventar nicht nur nach Produktversionen zu pflegen, sondern auch nach Konfigurationsvarianten, die in Advisorys als Trigger genannt werden. Denn CVE-Relevanz ist hier kontextabhängig, etwa durch aktivierte Override-Cookies und bestimmte Zertifikatsbezüge. Expertenbetrachtungen zeigen, dass gerade bei VPN-Edge-Komponenten die Gerätekonfiguration oft über Jahre gewachsen ist, wodurch „optische“ Compliance mit Versionsständen täuschen kann. Wer außerdem Zero-Trust-Prinzipien verfolgt, sollte prüfen, ob Auth- und Policy-Entscheidungen auch bei unerwarteten Session-Mechaniken weiterhin restriktiv bleiben.
Mit Blick in die Zukunft ist zu erwarten, dass der Hersteller die betroffenen Pfade in weiteren PAN-OS- und Prisma-Access-Updates nachschärft und dass die Community die Konfigurations-Checks automatisiert. Für Security-Teams liegt die praktische Lehre darin, Mitigations nicht als „optional“ zu behandeln, wenn Exploit-Beobachtungen vorliegen, sondern als kontrollierte Zwischenstufe bis zum Rollout. Gleichzeitig steigt für Entwickler und Betreiber der Druck, Telemetrie an den Übergängen zwischen Authentication, Cookie-Handling und VPN-Zuweisung zu instrumentieren: Dort entstehen oft die einzigen Indikatoren, bevor Folgeaktivitäten starten. Wenn sich das Bedrohungsmuster wie in vorherigen Kampagnen wiederholt, werden solche Feinsignale ein entscheidender Hebel, um Angriffe zu stoppen, bevor sie interne Systeme erreichen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CVE-2026-0257: PAN-OS GlobalProtect Auth-Bypass ist aktiv ausgenutzt" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CVE-2026-0257: PAN-OS GlobalProtect Auth-Bypass ist aktiv ausgenutzt" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CVE-2026-0257: PAN-OS GlobalProtect Auth-Bypass ist aktiv ausgenutzt« bei Google Deutschland suchen, bei Bing oder Google News!