Angreifer nutzen eine Sicherheitslücke in bestimmten Firewalls von Palo Alto Networks bereits aus. Die Schwachstelle CVE-2026-0322 steckt im Management-Interface des Betriebssystems PAN-OS. Wer authentifiziert ist und Netzwerkzugriff auf diese Oberfläche besitzt, kann unter den beschriebenen Voraussetzungen Schadcode mit Root-Rechten ausführen – also mit den höchsten Rechten auf dem Gerät.

Betroffen sind nach dem Herstellerhinweis Firewalls der PA- und VM-Serie. Panorama, Cloud NGFW und Prisma Access werden für diese Lücke nicht als betroffen genannt. Betreiber sollten deshalb zuerst Produkt, Versionszweig und Erreichbarkeit der Verwaltungsoberfläche inventarisieren, statt alle Palo-Alto-Produkte gleich zu behandeln.

Die notwendige Anmeldung macht die Lücke nicht harmlos. Gestohlene Zugangsdaten, missbrauchte interne Konten oder ein bereits erreichter Zugang zum Verwaltungsnetz können die Voraussetzung erfüllen. Firewalls schützen andere Systeme; eine Übernahme mit Root-Rechten kann daher besonders weitreichend sein. Die US-Cybersicherheitsbehörde CISA führt die Lücke in ihrem Katalog aktiv ausgenutzter Schwachstellen.

Der Hersteller stellt für zahlreiche PAN-OS-Zweige korrigierte Versionen bereit. Einen vollständigen Workaround gibt es nicht. Der Zugriff auf das Management-Interface sollte sofort auf notwendige, vertrauenswürdige interne Adressen begrenzt werden. Bestimmte Threat-Prevention-Signaturen können zusätzlichen Schutz liefern, setzen aber ein entsprechendes Abonnement und die Entschlüsselung des Datenverkehrs voraus.

Die sinnvolle Reihenfolge lautet deshalb: betroffene Geräte und Konten erfassen, die Verwaltungsoberfläche abschotten, auf die für den eigenen Versionszweig ausdrücklich korrigierte Version aktualisieren und danach Protokolle rückwirkend prüfen. Relevant sind ungewöhnliche Anmeldungen, neue Konten, Konfigurationsänderungen und unbekannte Prozesse.

Ein erfolgreich installiertes Update schließt nur die bekannte Lücke. Es beweist nicht, dass ein Gerät zuvor unberührt war. Weil der technische Angriffsweg öffentlich nur knapp beschrieben ist und der Hersteller von wenigen beobachteten Angriffen spricht, sollten Betreiber weder Entwarnung geben noch unbelegte Kompromittierungen behaupten.