Palo Alto Networks PAN-OS: Schreiben außerhalb des zugewiesenen Speichers (Out-of-bounds Write) (CVE-2026-0300)

Was ist betroffen, was ist zu tun

Ein Pufferüberlauf-Schwachstelle im User-ID™ Authentication Portal (auch bekannt als Captive Portal) Dienst der Palo Alto Networks PAN-OS Software ermöglicht es einem nicht authentifizierten Angreifer, beliebigen Code mit Root-Rechten auf den PA-Series und VM-Series Firewalls auszuführen, indem er speziell gestaltete Pakete sendet. Das Risiko dieses Problems wird erheblich reduziert, wenn der Zugang zum User-ID™ Authentication Portal gemäß den Best Practices https://knowledgebase.paloaltonetworks.com/KCSArticleDetail durch Einschränkung des Zugriffs auf vertrauenswürdige interne IP-Adressen gesichert wird.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Aktualisieren Sie Palo Alto Networks PAN-OS auf Version 12.1.7, Palo Alto Networks PAN-OS auf Version 11.2.12, Palo Alto Networks PAN-OS auf Version 11.1.15. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• Palo Alto Networks PAN-OS lt 12.1.0..12.1.7
• Palo Alto Networks PAN-OS lt 11.2.0..11.2.12
• Palo Alto Networks PAN-OS lt 11.1.0..11.1.15
• Palo Alto Networks PAN-OS lt 10.2.0..10.2.18-h6

Behoben in

• Palo Alto Networks PAN-OS 12.1.7
• Palo Alto Networks PAN-OS 11.2.12
• Palo Alto Networks PAN-OS 11.1.15
• Palo Alto Networks PAN-OS 10.2.18-h6

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Exposition feststellen: Alle PA-Series- und VM-Series-Firewalls inventarisieren und prüfen, ob der User-ID Authentication Portal (Captive Portal) aktiviert ist (Device > User Identification > Authentication Portal Settings) und auf welchen Interfaces bzw. Zonen er erreichbar ist. Prisma Access, Cloud NGFW und Panorama sind laut Hersteller nicht betroffen und können zurückgestellt werden.
   • Internet-exponierte Portale sofort abschotten: Ist das Authentication Portal aus nicht vertrauenswürdigen Zonen (Internet, Gast-WLAN, Partner-Netze) erreichbar, den Zugriff noch vor dem Patch auf vertrauenswürdige interne IP-Adressen beschränken. Wird das Portal nicht benötigt, die Funktion ganz deaktivieren.
   • Patch einspielen: Auf die vom Hersteller als korrigiert ausgewiesenen Stände aktualisieren: PAN-OS 10.2.18-h6, 11.1.15, 11.2.12 bzw. 12.1.7 (oder höher). Die genauen Hotfix-Stände pro Release-Zweig sind im Palo-Alto-Security-Advisory zu prüfen. Bei HA-Paaren zuerst den passiven Knoten aktualisieren.
   • Kompromittierungsprüfung vor und nach dem Patch: Weil die Ausnutzung Root-Code-Ausführung auf der Firewall ermöglicht, beseitigt ein Patch eine bereits erfolgte Kompromittierung nicht. Vor dem Upgrade einen Tech-Support-File (TSF) sichern und System-, Config- und Traffic-Logs exportieren. Dabei auf Abstürze des Authentication-Portal-Dienstes, unbekannte Admin-Konten und unerwartete Konfigurationsänderungen achten.
   • Bei Kompromittierungsverdacht: Das Gerät als nicht vertrauenswürdig einstufen. Alle auf der Firewall hinterlegten Geheimnisse rotieren: lokale Admin-Passwörter, LDAP-/RADIUS-/Kerberos-Service-Accounts, IPsec-PSKs, GlobalProtect-Zertifikate und API-Keys. Den Vorfall an Palo Alto TAC eskalieren. Die Meldepflichten nach NIS2/BSIG (Frühwarnung binnen 24 h) prüfen.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzsegmentierung: Das Authentication Portal nur auf Interfaces in internen, vertrauenswürdigen Zonen binden. Eine Security-Policy anlegen, die den Zugriff auf die Portal-Ports (typischerweise TCP 6080, 6081 und 6082 — in der eigenen Konfiguration verifizieren) ausschließlich aus definierten internen Subnetzen erlaubt und alles andere explizit verwirft und protokolliert.
   • Interface-Management-Profile härten: In den Interface Management Profiles die Response Pages und die Captive-Portal-Dienste auf externen Interfaces deaktivieren. Die Option Permitted IP Addresses auf interne Quellnetze begrenzen.
   • Vorgelagerte Filterung: Auf einem Upstream-Router oder einer Perimeter-ACL eingehenden Verkehr aus dem Internet zu den Portal-Ports der Firewall-Interfaces blockieren. Das gilt als Defense-in-Depth auch dann, wenn die Firewall selbst bereits restriktiv konfiguriert ist.
   • Threat Prevention: Prüfen, ob Palo Alto eine Threat-ID bzw. ein Content-Update für diese Schwachstelle veröffentlicht hat. Das aktuelle Applications-and-Threats-Content-Paket einspielen. Die Signatur gilt nur dort, wo ein Vulnerability-Protection-Profil auf den Traffic zum Portal wirkt.
   • Management-Plane-Isolierung: Das Management-Interface ausschließlich über ein dediziertes Out-of-Band-Management-VLAN erreichbar machen. Ausgehende Verbindungen der Firewall selbst (Service Routes) auf benötigte Ziele beschränken: Update-Server, Syslog, AAA. Das erschwert C2- und Exfiltrationsverbindungen nach einer erfolgreichen Ausnutzung.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • PAN-OS Traffic-Logs: Verbindungen auf die Portal-Ports aus externen bzw. nicht vertrauenswürdigen Quellnetzen identifizieren. SPL-Beispiel: index=pan sourcetype=pan:traffic dest_port IN (6080,6081,6082) NOT src_ip IN (10.0.0.0/8,172.16.0.0/12,192.168.0.0/16) | stats count by src_ip, dest_ip, dest_port
   • PAN-OS System-Logs: Unerwartete Prozessabstürze, Neustarts oder Core-Dumps im Umfeld der Authentication-Portal- bzw. User-ID-Dienste deuten auf Überlauf-Versuche hin. Unerwartete Reboots und HA-Failover ohne Change-Ticket sind sofort zu korrelieren.
   • Config-/Audit-Logs: Neue Administratoren, geänderte Admin-Rollen, neue Security-Rules oder NAT-Regeln und geänderte Service Routes außerhalb von Wartungsfenstern sind verdächtig. Sigma-Form: logsource: paloalto/config mit cmd: (add|set) AND path contains "mgt-config users".
   • Netzwerk-Telemetrie (Zeek/Suricata): Auf ausgehende Verbindungen achten, die von den eigenen IP-Adressen der Firewall (Management- oder Dataplane-Interfaces) zu unbekannten externen Zielen gehen, insbesondere über ungewöhnliche Ports oder als lang laufende Sessions. Zusätzlich auf ungewöhnlich große bzw. fehlerhafte Requests an die Portal-Ports in http.log und conn.log achten.
   • Integritätsprüfung: Den TSF mit Unterstützung durch Palo Alto TAC auf unbekannte Dateien und Prozesse sowie auf veränderte Systemdateien prüfen. Ergebnisse gegen eine Baseline gesunder Geräte vergleichen.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Ein Pufferüberlauf-Schwachstelle im User-ID™ Authentication Portal (auch bekannt als Captive Portal) Dienst der Palo Alto Networks PAN-OS Software ermöglicht es einem nicht authentifizierten Angreifer, beliebigen Code mit Root-Rechten auf den PA-Series und VM-Series Firewalls auszuführen, indem er speziell gestaltete Pakete sendet. Das Risiko dieses Problems wird erheblich reduziert, wenn der Zugang zum User-ID™ Authentication Portal gemäß den Best Practices https://knowledgebase.paloaltonetworks.com/KCSArticleDetail durch Einschränkung des Zugriffs auf vertrauenswürdige interne IP-Adressen gesichert wird. Prisma Access, Cloud NGFW und Panorama-Geräte sind von dieser Schwachstelle nicht betroffen.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: siemens_advisory, certeu_advisory, CSA/SingCERT, NVD (NIST), pwn.watch, cvelistv5, CISA KEV Catalog, ENISA EUVD, CVE.org (MITRE)

Hersteller und Produkte

• Palo Alto Networks Pan-os
• Palo Alto Networks Palo Alto Networks PAN-OS
• Siemens Ruggedcom Ape1808 Firmware

Weakness-Klassen (CWE)

• CWE-787Out-of-bounds Write

  Base

  The product writes data past the end, or before the beginning, of the intended buffer.

  Eintrag bei MITRE CWE-787

Quellen & Referenzen

• security.paloaltonetworks.comPalo Alto Networks PAN-OS — CVE-2026-0300euvd, Herstellerhinweis, Mitigation, Herstellerhinweis, pwn-watch
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2026-0300government-resource, US-Behörde
• Siemens ProductCERTproductcert/html/ssa-967325.htmlHinweis Dritter
• pwn.watchpwn.watch: Palo Alto Networks PAN-OS: Palo Alto Networks PAN-OS Out-of-bounds Write Vulnerabilitypwn-watch
• NVD (NIST)NVD: CVE-2026-0300pwn-watch
• cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

Eine Übersetzung der NVD in eine andere Sprache ist ausgeblendet.

Verknüpfte Advisories

• Der Wettlauf gegen die 3-Tage-Frist: Wie Rapid7 die Einhaltung von BOD 26-04 unterstütztRapid704.11.2026
• Fwd: @RISK®: The Consensus Security Vulnerability Alert: Vol. 26, Num. 20SANS @RISK21.05.2026
• Fwd: @RISK®: The Consensus Security Vulnerability Alert: Vol. 26, Num. 19SANS @RISK14.05.2026
• Critical PAN-OS RCE Flaw Exploited, Awaiting PatchSANS NewsBites08.05.2026
• Latvian National Sentenced in Connection with Providing Advice to Multiple Ransomware GroupsSANS NewsBites05.05.2026