Palo Alto Networks hat mit CVE-2026-0300 eine kritische Schwachstelle in PAN-OS offengelegt. Betroffen ist das User-ID Authentication Portal, auch als Captive Portal bekannt. Die Lücke betrifft PA-Series- und VM-Series-Firewalls, wenn das Portal aktiviert und aus nicht vertrauenswürdigen Netzen oder dem öffentlichen Internet erreichbar ist. Laut Palo Alto Networks und Rapid7 wurde bereits begrenzte Ausnutzung in freier Wildbahn beobachtet.
Warum dieser Fall anders ist
Das ist keine Schwachstelle irgendwo hinter der Firewall. Es ist eine Schwachstelle in der Firewall selbst — und in einer Funktion, die direkt am Netzwerkrand stehen kann. Rapid7 beschreibt das Problem als unauthentifizierte Remote-Code-Ausführung mit Root-Rechten über speziell präparierte Pakete. Nutzerinteraktion ist nicht erforderlich.
Der betroffene Dienst ist nicht in jeder Umgebung standardmässig aktiv, was die Reichweite begrenzt. Für Organisationen, die Captive Portal nutzen und über vertrauenswürdige interne Zonen hinaus exponieren, ist das Risiko aber hoch. Palo Alto Networks bewertet die Schwachstelle mit CVSSv4 9.3; CISA nahm CVE-2026-0300 bereits am 6. Mai in den Known-Exploited-Vulnerabilities-Katalog auf.
Das Patch-Fenster schafft operativen Druck
Die ersten korrigierten Versionen sollen ab dem 13. Mai erscheinen, weitere PAN-OS-Zweige folgen später im Monat. Genau dadurch entsteht die gefährliche Lücke: Verteidiger wissen, dass die Schwachstelle aktiv ausgenutzt wird, können aber nicht jedes betroffene System sofort patchen. In diesem Fenster zählt die Qualität der Mitigation mehr als normales Change-Management-Komfortgefühl.
- Exposition prüfen: Ist das User-ID Authentication Portal aktiviert und aus untrusted Zonen oder dem Internet erreichbar?
- Zugriff einschränken: Das Portal nur für vertrauenswürdige interne Zonen erreichbar machen.
- Deaktivieren, wenn unnötig: Wird Captive Portal operativ nicht gebraucht, sollte es bis zu verfügbaren Fixes abgeschaltet werden.
- Patch-Fenster vorbereiten: Für jede PAN-OS-Version den Herstellerfahrplan verfolgen und sofort patchen, sobald der passende Build bereitsteht.
- Kompromittierung suchen: Firewall-Logs, Portal-Zugriffe, unerwartete Tunnel und Active-Directory-Enumeration prüfen.
Pandorex View
CVE-2026-0300 erinnert daran, dass Perimeter-Geräte längst nicht mehr nur passive Verteidigungsinfrastruktur sind. Es sind hoch privilegierte, Linux-basierte Systeme mit Netzwerkposition, Identitätskontext und einer Angriffshistorie, die auch staatlich ausgerichtete Gruppen anzieht. Eine verwundbare Firewall ist nicht einfach eine Mauer mit Riss — sie kann zum ersten Einstiegspunkt werden.
Die praktische Lehre ist klar: Edge-Dienste brauchen Reaktionsgeschwindigkeit auf Internet-Niveau. Was nicht gebraucht wird, sollte nicht exponiert sein. Was gebraucht wird, braucht Monitoring, Segmentierung und einen Notfallpfad für schnelle Änderungen — genau wie jeder andere kritische, internetseitige Dienst.
Quellen: Palo Alto Networks Security Advisory zu CVE-2026-0300, Rapid7-Analyse (06./07.05.2026), BleepingComputer (06.05.2026), CISA KEV-Katalog.