Palo-Alto-Lücke CVE-2026-0257: VPN-Zugang ohne Passwort

Zwei schwerwiegende Schwachstellen bedrohen Unternehmensnetze: VPN-Zugriff ohne Passwort möglich und 19 Jahre alter Linux-Fehler entdeckt.

Eine kritische Schwachstelle in Palo-Alto-Netzwerken ermöglicht Angreifern den Zugriff auf virtuelle private Netzwerke (VPN) ohne Passwort. Gleichzeitig wurde ein fast 20 Jahre alter Fehler im Linux-Kernel entdeckt, der Angreifern volle Kontrolle über Systeme geben kann.

Authentifizierungslücke in Palo-Alto-VPNs

Die als CVE-2026-0257 bekannte Schwachstelle betrifft das PAN-OS GlobalProtect-Portal und -Gateway des US-amerikanischen Netzwerkspezialisten Palo Alto Networks. Unbefugte können sich ohne Authentifizierung Zugang zu VPN-Diensten verschaffen. Die nationale Schwachstellendatenbank der USA bewertet das Risiko mit 9,1 von 10 möglichen Punkten – eine kritische Einstufung.

Anzeige: Wer die kritische Palo-Alto-VPN-Lücke CVE-2026-0257 noch nicht geschlossen hat, riskiert unbefugten VPN-Zugriff – ohne Passwort. Der kostenlose Notfall-Report liefert eine sofort umsetzbare Patch-Checkliste und den DSGVO-konformen Meldeablauf. Jetzt kostenlosen Notfall-Report anfordern

Erste Angriffswellen registrierte der Sicherheitsdienstleister Rapid7 bereits am 17. und 21. Mai, kurz nachdem Palo Alto Networks am 13. Mai einen Patch veröffentlicht hatte. Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) setzte Bundesbehörden eine Frist bis zum 1. Juni 2026, um die Lücke zu schließen.

Das Problem liegt in der Verarbeitung sogenannter „Authentication Override"-Cookies. Angreifer können diese Cookies fälschen und als Berechtigungsnachweise nutzen – besonders dann, wenn das System identische Zertifikate für HTTPS und die Cookie-Überprüfung verwendet. Bislang wurden zwar erfolgreiche VPN-Zugriffe dokumentiert, eine Ausbreitung der Angreifer innerhalb kompromittierter Netzwerke konnte jedoch noch nicht beobachtet werden.

19 Jahre alter Fehler im Linux-Kernel

Parallel dazu sorgt eine weitere Schwachstelle für Unruhe. Die als CVE-2026-46243 registrierte und auf den Namen „CIFSwitch" getaufte Lücke im CIFS-Modul des Linux-Kernels ermöglicht lokalen Nutzern, Administratorrechte zu erlangen. Der Fehler existiert seit 2007 – und blieb fast zwei Jahrzehnte unentdeckt.

Entdeckt wurde die Sicherheitslücke von einem Forscher des Raumfahrtunternehmens SpaceX. Er setzte KI-gestützte Agenten ein, um den Code nach versteckten Fehlern zu durchsuchen. Betroffen sind Systeme mit cifs-utils Version 6.14 oder neuer, bei denen unprivilegierte Benutzernamensräume aktiviert sind.

Mehrere große Linux-Distributionen sind in ihren Standardeinstellungen verwundbar, darunter AlmaLinux 9.7, Rocky Linux 9, CentOS Stream 9 sowie aktuelle Versionen von Linux Mint und Kali Linux. Ein Patch liegt bereits vor. Als Übergangslösung empfehlen Administratoren, unprivilegierte Benutzernamensräume zu deaktivieren oder das cifs-utils-Paket zu entfernen.

Weitere Bedrohungen im Überblick

Die aktuelle Bedrohungslage beschränkt sich nicht auf diese beiden Schwachstellen. Sicherheitsupdates wurden auch für andere kritische Komponenten veröffentlicht:

• strongSwan: Mehrere Schwachstellen in Versionen vor 6.0.6 können zu Dienstverweigerung oder Fernausführung von Code führen. Die Risikobewertung liegt bei 9,8.
• Vim: Ein mittleres Risiko im Texteditor ermöglicht lokale Codeausführung auf Linux-, Unix- und Windows-Systemen.
• OverlayPhantom: Ein Banking-Trojaner, der seit Mai 2025 aktiv ist, zielt auf über 180 Finanzanwendungen ab. Die Zahl der NFC-bezogenen Angriffe stieg 2026 um 188 Prozent.

Sicherheitsexperten warnen: Edge-Geräte wie VPN-Gateways und Firewalls sind wegen ihrer direkten Internetverbindung und der tiefen Netzwerkzugriffe zu bevorzugten Zielen geworden.

Anzeige: Der 19 Jahre alte Linux-Kernel-Fehler CIFSwitch (CVE-2026-46243) ermöglicht lokalen Nutzern Administratorrechte – betroffen sind auch AlmaLinux, Rocky Linux und CentOS Stream. Unser Report zeigt, wie Sie beide Lücken priorisieren und Ihre Systeme absichern. Sicherheits-Report für Linux & VPN-Lücken anfordern

Regulatorische Konsequenzen für Unternehmen

Die jüngste Welle ausgenutzter Sicherheitslücken hat auch rechtliche Folgen. Nach der europäischen Datenschutz-Grundverordnung (DSGVO) sind Unternehmen verpflichtet, Sicherheitsvorfälle zu melden, die personenbezogene Daten gefährden. Versäumnisse bei der Sicherung oder Meldung können mit Geldstrafen von bis zu vier Prozent des weltweiten Jahresumsatzes geahndet werden.

Um diese Risiken zu minimieren, empfehlen Sicherheitsexperten: Patches für Schwachstellen aus dem CISA-KEV-Katalog priorisieren, Verwaltungsschnittstellen vom öffentlichen Internet trennen und Geräteprotokolle in Sicherheitsinformations- und Ereignismanagementsysteme (SIEM) integrieren.