Ransomware-Gruppen nutzen die Lücke CVE-2026-0257 in PAN-OS GlobalProtect. Sie umgehen die MFA und bauen aus der Ferne VPN-Verbindungen auf. Danach bewegen sie sich im Netz und greifen auch Backups an. Admins sollten den Patch vom Mai prüfen und nach Spuren suchen.
Seit Juni brechen Ransomware-Gruppen trotz MFA über GlobalProtect in Netze ein, obwohl seit Mai ein Patch existiert. Dieser Beitrag zeigt, wen es trifft, wie die Angreifer vorgehen und was Admins jetzt prüfen sollten.
Das Wichtigste in Kürze
- Die Lücke CVE-2026-0257 ist ein Authentifizierungs-Bypass in PAN-OS GlobalProtect. Angreifer bauen aus der Ferne und ohne Login eine VPN-Verbindung auf.
- Qilin und Inc gehören laut Unit 42 zu den Tätern. Auch ReliaQuest sieht Qilin und zudem die Gruppe Settra am Werk.
- Betroffen sind Firewalls und Prisma Access. Das gilt für physische und virtuelle Geräte mit dem Portal oder Gateway von GlobalProtect.
- Die Angriffe laufen weiter. ReliaQuest hält Ausnutzung in den nächsten drei Monaten für sehr wahrscheinlich.
Wie die Lücke funktioniert
Dabei verlassen sich die Firewalls auf Cookies. Sie prüfen diese aber nicht genau auf Gültigkeit und Integrität. Deshalb können Angreifer Sicherheitsschranken umgehen und einen unbefugten VPN-Zugang aufbauen. Die MFA schützt dabei nicht, denn die Angreifer bauen die Sitzung an ihr vorbei auf.
Betroffen sind diese Komponenten:
- das GlobalProtect-Portal,
- das GlobalProtect-Gateway,
- physische und virtuelle Firewalls mit PAN-OS,
- Prisma Access.
Zudem stammen die Opfer aus vielen Branchen. Genannt werden Gesundheit, Bildung, Behörden und Energie.
Zeitlinie: Vom Patch bis zur Ransomware
Help Net Security hat die Meldung am 21. Oktober 2026 veröffentlicht. Palo Alto Networks hat die Lücke am 13. Mai offengelegt und zunächst als mittelschwer eingestuft. Am 29. Mai hat die Firma das Advisory aktualisiert und von begrenzten Angriffsversuchen auf ungepatchte Geräte ohne Schutzmassnahmen gesprochen. Unit 42 hat seinen Threat Brief am 19. Oktober zuletzt aktualisiert. Die Tabelle fasst die wichtigsten Stationen zusammen.
| Datum | Ereignis | Bedeutung |
|---|---|---|
| 13. Mai | Palo Alto legt die Lücke offen, Patch im Mai | Ab hier können Admins handeln |
| 17. Mai | Angriffe auf lokale Admin-Konten bei Rapid7-Kunden | Erste Ziele waren Verwaltungszugänge |
| 21. Mai | Zweite Welle erreicht interne Netze | Der VPN-Zugang führte direkt ins Netz |
| 29. Mai | Advisory meldet begrenzte Angriffsversuche | Die Einstufung als mittelschwer wirkte zu mild |
| Anfang Juni | Unit 42 untersucht erste Einbrüche | Ransomware-Bezug wird später bestätigt |
| 19. Oktober | Unit 42 nennt Qilin und Inc | Die Bedrohung gilt inzwischen als breit |
Dabei liefert Rapid7 in einem eigenen Bericht Details zu den frühen Angriffen.
Was die Angreifer im Netz tun
Nach dem Zugang nutzen die Täter legitime IT-Verwaltungswerkzeuge. Damit erkunden sie das Netz und springen auf weitere Rechner. Sie holen Werkzeuge für den Diebstahl von Passwörtern und Daten nach. Erst danach starten sie die Ransomware.
So gingen die Täter in einem Fall von Unit 42 vom VPN-Gateway zur vCenter-Appliance. Dort schalteten sie Schutzfunktionen auf den ESXi-Hypervisoren ab. Dann liessen sie ein eigenes Werkzeug gegen die virtuelle Festplatte eines Domain Controllers laufen. So lasen sie Zugangsdaten offline aus. Dieses Vorgehen umgeht den Schutz durch EDR innerhalb der Gast-Systeme.
Zudem kombinieren die Täter den Einstieg mit anderen Exploits. Unit 42 nennt Werkzeuge gegen die Backup-Software Veeam und die Lücke CVE-2023-27532. ReliaQuest fand ausserdem Cobalt Strike, BloodHound und SharpHound. Die Analysten warnen, dass der Zugang über das eigene VPN nach normaler Heimarbeit aussieht. Der Angriff fällt oft erst auf, wenn Zugangsdaten oder Daten bereits abgeflossen sind. Details liefert der Threat Brief von Unit 42.
Einordnung: Was das für Admins in der Schweiz heisst
Admins in der Schweiz, die GlobalProtect oder Prisma Access einsetzen, sollten sofort prüfen, ob der Patch vom Mai installiert ist. Die Quellen nennen keine Frist, aber die Angriffe laufen seit Monaten. Wer erst jetzt patcht, sollte zusätzlich nach Spuren aus der Zeit seit Mai suchen. Das betrifft Anmeldungen mit dem lokalen Admin-Konto und ungewöhnliche VPN-Sitzungen. Auch vCenter, ESXi und Veeam gehören in die Prüfung. Konkrete Kosten nennen die Quellen nicht.
Fazit
Die Lücke ist seit Mai bekannt, und der Patch ist verfügbar. Der nächste Schritt ist der Abgleich der Patch-Stände aller GlobalProtect-Geräte. Danach folgt die Suche nach Anzeichen eines früheren Einbruchs. Die Meldung von Help Net Security fasst die Lage zusammen.
Quellen: Help Net Security. Foto: Tho-Ge / Pixabay. Stand: 21. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.