VPN-Login ohne Passwort
Palo Alto GlobalProtect Auth-Bypass aktiv ausgenutzt
CVE-2026-0257 erlaubt Angreifern, sich ein gültig wirkendes VPN-Cookie selbst zu bauen – kein Phishing, kein Password Spraying, kein MFA-Bypass nötig.
Auf einen Blick
Eine neue Lücke in Palo Alto Networks PAN-OS mit der Kennung CVE-2026-0257 erlaubt Angreifern, die Authentifizierung des VPN-Dienstes GlobalProtect zu umgehen. Offiziell ist sie nur „mittel" eingestuft – in der Praxis steht damit die Tür ins Unternehmensnetz offen. CISA hat die Schwachstelle in den Known Exploited Vulnerabilities-Katalog aufgenommen.
Was steckt hinter CVE-2026-0257?
Die Schwachstelle sitzt in GlobalProtect, der VPN-Komponente von PAN-OS, und betrifft eine spezielle Funktion namens Authentication Override. Diese Funktion ist gedacht, um bereits einmal authentifizierten Nutzern zukünftige Logins zu erleichtern – über ein verschlüsseltes Cookie, das wie ein VIP-Ausweis fungiert.
Das Problem: Wird dieses Cookie mit demselben Zertifikat verschlüsselt wie der öffentliche HTTPS-Dienst des Portals, kann jeder externe Angreifer den öffentlichen Schlüssel abrufen, ein eigenes Cookie bauen und an den Login-Endpunkt schicken. Das Gateway entschlüsselt es, glaubt der manipulierten Identität – und öffnet das VPN.
So fälscht ein Angreifer das VPN-Cookie
Der Designfehler: Verschlüsselung ≠ Vertrauen
Das Gateway prüft, ob ein eingehendes Cookie technisch lesbar ist – aber nicht, ob es echt ausgestellt wurde. Verschlüsselung schützt die Vertraulichkeit. Authentizität braucht eine Signaturprüfung. Genau die fehlt hier.
„Ein Türsteher, der nur prüft, ob ein Ausweis aus Plastik besteht – aber weder Foto noch Namen anschaut. Wenn das Material stimmt, kommt man rein."
Das ist kein zufälliger Bug, sondern ein architektonischer Denkfehler. Und er sitzt genau dort, wo er am meisten weh tut: am Perimeter, einen Schritt vor dem internen Netzwerk.
Vom Advisory zur aktiven Ausnutzung – in 4 Tagen
Welche Systeme betroffen sind
Besonders kritisch: Konfigurationen mit aktiviertem Authentication Override in Verbindung mit identischen Zertifikaten für Portal und Override-Cookies.
Indicators of Compromise (IoCs)
In den GlobalProtect-Logs der beobachteten Wellen tauchten auffällige Client- bzw. Maschinennamen auf. Wer in seinen Logs eine dieser Bezeichnungen findet, sollte sofort eine Incident-Response-Prüfung starten.
Was nach dem VPN-Login passiert
Sobald die Authentifizierung umgangen ist, beginnt die laterale Bewegung im internen Netz.
Sofortmaßnahmen für Administratoren
Sofort patchen
Aktuelles PAN-OS-Sicherheitsupdate auf allen GlobalProtect-Gateways einspielen – ohne Wartungsfenster-Diskussion.
Authentication Override deaktivieren
Wenn nicht zwingend nötig: Funktion abschalten. Sie ist die Voraussetzung der Angriffskette.
Eigenes Zertifikat für Override
Niemals dasselbe Zertifikat wie für das öffentliche HTTPS-Portal verwenden – das ist der eigentliche Designfehler.
Management auf IPs einschränken
VPN- und Management-Interfaces nur aus vertrauenswürdigen Netzen erreichbar machen.
Sessions & Logs prüfen
GlobalProtect-Logs auf 'GPC client' / 'Descope-G1' und unbekannte Cloud-IPs auditieren.
EDR/XDR scharfschalten
Verhaltensbasierte Erkennung hinter dem VPN: lateral movement, neue Admin-User, ungewöhnliche Logins.
Wasacon-Perspektive: „Mittel" ist hier ein Etikettenschwindel
Wer Sicherheit nur über CVSS-Zahlen steuert, übersieht CVE-2026-0257 fast garantiert. Die Lücke ist offiziell „mittel", in der Praxis aber ein Volltreffer auf den Perimeter: kein Phishing, kein Login, kein MFA-Code – einfach drin.
Genau wie bei der Schwester-Lücke CVE-2026-0300 und dem parallelen Cisco-SD-WAN-Vorfall gilt: Wer Firewall und VPN nicht aktiv überwacht, dem nützt das beste Logo am Gerät wenig.
Mehr zu Perimeter- und VPN-Sicherheit
Aktuelle Wasacon-Analysen zu Firewalls, VPNs und Zero-Day-Lücken am Netzwerkrand.
Wasacon in deiner Region
Wir härten Palo-Alto-, Fortinet- und Cisco-Perimeter für Unternehmen im gesamten Kreis Heinsberg und der Region:
Häufige Fragen zu CVE-2026-0257
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
VPN-Gateway prüfen statt hoffen
Wir analysieren Ihre Palo-Alto-Konfiguration, deaktivieren riskante Funktionen und richten EDR/XDR-Monitoring für Ihre Perimeter ein.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
