Die französische Behörde CERT-FR hat vier Sicherheitshinweise zu PAN-OS, Veeam, Metabase und CPython veröffentlicht. Bei PAN-OS werden zwei Lücken bereits aktiv ausgenutzt, die Korrekturen stehen noch aus. Veeam meldet neun CVE-Nummern in drei Bulletins. Für Metabase und CPython liefern die Quellen nur knappe Angaben.
Inhalt 8 Abschnitte
Zwei aktiv ausgenutzte Lücken in PAN-OS gefährden Firewalls, für die es noch keine Korrektur gibt. Das CERT-FR hat am 28. Oktober 2026 vier Sicherheitshinweise zu PAN-OS, Veeam, Metabase und CPython veröffentlicht.
Das Wichtigste in Kürze
- Palo Alto PAN-OS hat die höchste Dringlichkeit. Die Lücken CVE-2026-109618 und CVE-2026-109619 werden laut Hersteller bereits aktiv ausgenutzt. Angreifer können damit fremden Code auf dem Gerät starten.
- Veeam meldet neun CVE-Nummern. Einige davon betreffen die Code-Ausführung aus der Ferne, die Rechteausweitung und den Zugriff auf vertrauliche Daten.
- Metabase und CPython sind weniger konkret beschrieben. Beim einen ist die Auswirkung nicht näher benannt, beim anderen geht es um die Umgehung einer Sicherheitsrichtlinie.
- Die Patches sind nicht überall verfügbar. Für PAN-OS stehen Korrekturen laut CERT-FR noch zur Veröffentlichung an.
Was die französische Behörde gemeldet hat
Das CERT-FR gehört zur französischen Behörde ANSSI. Es hat die vier Hinweise am 28. Oktober 2026 veröffentlicht. Die Bulletins der Hersteller sind auf den 27. und 28. Oktober 2026 datiert. Eine eigene Bewertung der Schwere nimmt die Behörde in den vorliegenden Texten nicht vor. Für die Korrekturen verweist sie jeweils auf die Hersteller.
| Produkt | Gemeldete Auswirkung | Bemerkung |
|---|---|---|
Palo Alto PAN-OS |
Code-Ausführung aus der Ferne |
Zwei Lücken aktiv ausgenutzt, Patches ausstehend |
Veeam |
Code-Ausführung, Rechteausweitung, Datenabfluss |
Neun CVE-Nummern, drei Bulletins |
Metabase |
Sicherheitsproblem, vom Hersteller nicht näher beschrieben |
Bulletin GHSA-v44v-x8x4-mvcw |
CPython |
Umgehung der Sicherheitsrichtlinie |
Eine CVE, Bulletin PSF-2026-47 |
PAN-OS Sicherheitslücke: Angriffe laufen bereits
Palo Alto Networks meldet aktive Ausnutzung von CVE-2026-109618 und CVE-2026-109619. Eine dritte Lücke, CVE-2026-115560, steht ebenfalls im Hinweis. Für sie nennt der Text keine Ausnutzung.
Die Korrekturen sind laut CERT-FR noch in Vorbereitung. Genannt werden diese Versionen:
- 12.1.4-h13 und 12.1.10-h3
- 11.2.4-h23 und 11.1.7-h12
- 10.2.7-h39 und 10.2.10-h42
Deshalb lohnt der Blick auf die Alarmmeldung CERTFR-2026-ALE-014 vom 21. Oktober 2026. Sie erschien eine Woche vor dem Hinweis.
Veeam Schwachstellen: Neun CVE-Nummern in drei Bulletins
Veeam hat am 27. Oktober 2026 drei Bulletins veröffentlicht: kb4948, kb4951 und kb4957. Zusammen decken sie neun CVE-Nummern ab, von CVE-2025-64394 bis CVE-2026-108142. Laut Behörde betreffen einige davon die Code-Ausführung aus der Ferne, die Rechteausweitung und den Zugriff auf vertrauliche Daten. Welche Lücke welche Folge hat, steht in den Quellen nicht. Das müssen Admins in den Herstellerbulletins nachlesen. Auch zu den betroffenen Versionen schweigt der Hinweis.
Metabase Update und CPython
Bei Metabase nennt die Behörde nur ein nicht näher beschriebenes Sicherheitsproblem. Der Hersteller hat das Bulletin GHSA-v44v-x8x4-mvcw am 28. Oktober 2026 veröffentlicht. Mehr Details liefert die Quelle nicht.
Bei CPython geht es um die Umgehung einer Sicherheitsrichtlinie. Die Python Software Foundation führt die Lücke als PSF-2026-47 und CVE-2026-103995. Das Bulletin trägt das Datum 27. Oktober 2026. Welche Funktion betroffen ist, geht aus dem Hinweis nicht hervor.
Einordnung: Was das für Admins heisst
Admins mit PAN-OS-Firewalls haben die dringlichste Aufgabe. Die Angriffe sind im Gang, und die Korrekturen sind laut CERT-FR noch nicht freigegeben. Sie sollten täglich im Bulletin von Palo Alto Networks nachsehen und die genannten Fixversionen einspielen, sobald sie erscheinen. Teams mit Veeam prüfen die drei Bulletins und die eingesetzten Versionen. Für Metabase und CPython gilt dasselbe: Herstellerhinweis lesen, betroffene Systeme erfassen, Updates planen. Was die Umsetzung kostet, steht in den Quellen nicht.
Fazit
Du hast jetzt einen Überblick über vier Hinweise vom 28. Oktober 2026. Der nächste Schritt ist eine Bestandsliste: Wo laufen PAN-OS, Veeam, Metabase und CPython? Beginne mit PAN-OS, weil dort bereits Angriffe stattfinden. Hole danach die Korrekturen aus den Herstellerbulletins und spiele sie ein.
Quellen: CERT-FR, CERT-FR, CERT-FR, CERT-FR. Foto: analogicus / Pixabay. Stand: 4. November 2026.
Geschrieben von der Redaktion · Freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.