PAN-OS-Lücke CVE-2026-0257: Qilin-Ransomware nutzt Cookie-Override
Veröffentlicht am: 24.07.2026 um 15:33 Uhr | Redaktion boerse-global.de
Palo Alto Networks hat die aktive Ausnutzung einer kritischen Schwachstelle in seiner VPN-Software PAN-OS bestätigt. Seit dem 24. Juli 2026 liegen gesicherte Erkenntnisse darüber vor, dass Angreifer die unter der Kennung CVE-2026-0257 geführte Sicherheitslücke nutzen, um Authentifizierungsmechanismen zu umgehen. Betroffen sind nach Angaben des Unternehmens die Komponenten PAN-OS Portal/Gateway sowie die Lösung GlobalProtect. Die Schwachstelle wird mit einem CVSS-Wert von 7.8 als hochriskant eingestuft.
Technischer Hintergrund und erste Beobachtungen
Die Sicherheitslücke ermöglicht es unbefugten Akteuren, die Authentifizierung durch einen sogenannten Cookie-Override zu umgehen. Erste Anzeichen für eine Ausnutzung der Schwachstelle gehen bereits auf das Frühjahr zurück. Den Aufzeichnungen von Rapid7 zufolge wurde eine erste Exploitation bereits ab dem 17. Mai 2026 beobachtet, gefolgt von einer zweiten Welle am 21. Mai 2026. Diese frühen Aktivitäten konnten einem einzelnen Bedrohungsakteur zugeordnet werden.
Palo Alto Networks hatte bereits am 13. Mai 2026 einen Patch für CVE-2026-0257 veröffentlicht. Die US-Sicherheitsbehörde CISA nahm die Schwachstelle daraufhin am 29. Mai 2026 in ihren Katalog bekannter ausgenutzter Sicherheitslücken (KEV) auf und setzte Bundesbehörden eine Frist bis zum 1. Juni 2026 für die Behebung des Problems.
Qilin-Ransomware als Hauptprofiteur
Sicherheitsanalysten verschiedener Unternehmen, darunter Arctic Wolf, dokumentierten im Juni 2026 Vorfälle, bei denen die Qilin-Ransomware-Gruppe CVE-2026-0257 als initialen Zugangspunkt für ihre Angriffe nutzte. In diesen Fällen kam es zur Kompromittierung ganzer Domänen. Marktdaten der NCC Group weisen die Qilin-Gruppe für das zweite Quartal 2026 als aktivste Bedrohungsgruppe aus. Mit 301 von insgesamt 2.229 registrierten Angriffen zeichnete die Gruppe für etwa 14 Prozent der weltweiten Vorfälle verantwortlich.
Angriffe auf VPN-Software und Ransomware-Wellen zeigen, wie wichtig ein proaktiver Schutz der IT-Infrastruktur ist. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Cyber-Bedrohungen Unternehmer jetzt kennen müssen, um ihre Firma langfristig zu schützen. Cyber Security Report jetzt kostenlos herunterladen
Die Angriffskette der Ransomware-Gruppe ist dabei hochgradig standardisiert. Nach dem Aufbau einer SSL-VPN-Sitzung erfolgt das Ausspähen von Anmeldedaten. Für die seitliche Bewegung im Netzwerk (Lateral Movement) nutzen die Angreifer das Werkzeug PsExec. Die schädliche Nutzlast (Payload) wird üblicherweise im Verzeichnis C:PerfLogs abgelegt. Um Spuren zu verwischen, löschen die Akteure Ereignisprotokolle und deaktivieren Sicherheitslösungen wie den Windows Defender.
Weitere technische Details zeigen, dass die verwendete Payload (win.exe) die Eingabe eines 32-stelligen Passworts erfordert und mit dem Parameter --no-admin ausgeführt wird. Zur Aufrechterhaltung des Zugangs (Persistenz) wird ein Registry-Eintrag erstellt, der aus einem Asterisk und einer sechsstelligen Buchstabenfolge besteht. Bei mehreren Opfern wurden zudem der Hostname „kali“ und die IP-Adresse 108.61.229.217 identifiziert. Die Exfiltration von Daten erfolgt mittels Double-Extortion-Taktiken über Dienste wie MEGA oder Rclone.
Handlungsempfehlungen und Branchenkontext
Neben technischen Sicherheitslücken nutzen Cyberkriminelle oft gezielt psychologische Schwachstellen aus, um in Unternehmensnetzwerke einzudringen. Experten erklären in diesem kostenlosen Anti-Phishing-Paket, wie Sie Ihr Unternehmen in 4 Schritten effektiv gegen Hacker-Angriffe absichern. Kostenloses Anti-Phishing-Paket anfordern
IT-Sicherheitsexperten betonen die Dringlichkeit von Gegenmaßnahmen. Neben dem Einspielen der verfügbaren Patches empfiehlt Palo Alto Networks betroffenen Organisationen, die Funktion „Authentication Override“ zu deaktivieren oder alternativ ein neues Zertifikat zu generieren. Daten des Sicherheitsunternehmens Huntress verdeutlichen die Relevanz dieser Maßnahmen: In rund 70 Prozent der untersuchten Fälle dienten VPN-Zugänge als initialer Eintrittspunkt für Cyberangriffe.
Beobachtungen zeigen zudem, dass die Angreifer im Rahmen der Post-Exploitation sensible Daten wie LSASS-Dumps im .odt-Format erstellen oder die NTDS.dit-Datenbank extrahieren. Für die Auskundschaftung des Netzwerks kommen häufig legitime Werkzeuge wie AnyDesk oder Ngrok zum Einsatz, was die Entdeckung der Angriffe durch herkömmliche Überwachungssysteme erschwert.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
