Eigentlich sollte die Firewall Ihr Unternehmen vor Angriffen schützen – problematisch wird es, wenn sie selbst die Schwachstelle im Sicherheitskonzept ist.

Was ist passiert?

Erneut kam es zu einem Sicherheitsproblem durch eine aktiv ausgenutzte Schwachstelle im Firewall-Betriebssystem PAN-OS von Palo Alto Networks.

Der Hersteller hat am 14.10.2026 selbst eine neue Schwachstelle unter der Nummer CVE-2026-0322 in der CVE-Datenbank veröffentlicht. Diese ermöglicht es Angreifern, ohne größeren Aufwand beliebigen Code mit Root-Rechten auf der Firewall auszuführen – direkt über die Verwaltungsoberfläche. Ist diese Oberfläche aus dem Internet erreichbar, benötigt der Angreifer dafür nicht einmal eine IP-Adresse aus den internen Netzen des Unternehmens. Besonders kritisch wird es, wenn die Oberfläche – wie üblich – über eine verschlüsselte Verbindung (HTTPS) angesprochen wird: Ein Teil der Angriffe ist durch die Verschlüsselung nicht mehr erkennbar.
Der Hersteller stuft die Lücke als „hochkritisch" ein. Betroffen sind die PAN-OS-Versionen 10.2 bis 12.2. Ein Patch ist derzeit nicht verfügbar. Es gibt zwar einen Workaround, dieser wird aber nur einem Teil der Kunden bereitgestellt – denen mit der kostenpflichtigen Threat-Prevention-Subscription. Auch dieser bietet keinen vollständigen Schutz.
Ältere Versionen von PAN-OS kleiner oder gleich 12.2 sollten nach Empfehlung des Herstellers dringend aktualisiert werden. Bis zum Update sollten Anwender den Zugriff auf die Verwaltungsoberfläche auf vertrauenswürdige interne IP-Adressen beschränken was teilweise auch weiter Probleme mit sich bringt.
Dass sich Firewallhersteller wie Fortinet, Check Point, SonicWall, Cisco, Sophos oder WatchGuard in die Liste ähnlicher Vorfälle der letzten Zeit einreihen, zeigt: Cyberkriminelle versuchen zunehmend wieder, über den Perimeter in Netzwerke einzudringen. Denn Maßnahmen, die heute zum Unternehmensstandard gehören wie z.B Antivrus- und Malware Software am Endpunkt, MFA sowie Awarenes Schulungen der Mitarbeiter machen es zunehmen erheblich schwerer Schadcode in einzuschleusen.
Inzwischen gehen die überwiegende Zahl erfolgreicher Angriffe über Zugänge regulärer Benutzer des Unternehmens, deren Zugangsdaten in die Hände von Kriminellen geraten sind – unter anderem auch, weil sie über die kompromittierte Firewall mitgelesen wurden. Ein weiterer, nicht zu vernachlässigender Faktor: Durch den Einsatz von KI schrumpft die Zeit zwischen dem Entdecken einer Schwachstelle und deren Nutzung durch Hacker oder KI-Agenten von wenigen Tagen auf Minuten. Ein zeitnahes Beheben der Schwachstellen ist damit nahezu unmöglich – erforderlich ist daher ein umfassender zuverlässiger und vollständiger Schutz ab der ersten Minute. Das treibt den Preis mancher Lösungen in ungeahnte Höhen und sprengt schnell KMU-Budgets. Besonders alarmierend: Der AW Bedrohungsbericht 2026 zeigt das die meisten angegriffenen Unternehmen im EMEA-Raum inzwischen der Größenklasse von 2–200 Mitarbeitern angehören – exakt die Zielzone des deutschen Mittelstands.
Ein Grund dafür dürfte die Politik der Lizenzmodelle der meisten Firewall-Hersteller sein: Kunden erhalten eine Basis-Firewall (Hardware und Software), doch alle wichtigen Dienste, die aus unserer Sicht eigentlich zum Grundleistungsumfang einer modernen UTM-Firewall gehören, müssen teuer einzeln hinzugebucht werden – wie ein Flickenteppich. Das Argument, damit den Preis der Firewall möglichst gering zu halten, zieht nicht wirklich! Denn was nützt ein Auto mit Komplettausstattung, wenn sich die Scheibenwischer erst nutzen lassen, nachdem man beim Hersteller ein Abo für das Komfort-Paket mit Heizung, Klimaanlage und Scheibenheizung abgeschlossen hat?
Dass es auch anders geht – ohne den Preis der UTM-Firewall in astronomische Höhen zu treiben –, zeigen die von uns vertriebenen Firewalllösungen von Securepoint: Lösungen mit all-inklusiven Diensten zu einem günstigen Preis, ohne Dienste-Flickenteppich. Mit unseren Security-Bundles einfach und sicher zu lizenzieren und zu einem 360-Grad-Schutz für Netzwerk und Geräte erweiterbar.

Unser Denkanstoß:

Wie viele kritische Lücken in Ihrem Security-Perimeter akzeptieren Sie, bevor ein Wechsel des Herstellers die sicherere Entscheidung ist? Auch die Unsicherheit durch die Abhängigkeit von US-Techkonzernen, der politischen US-Führung und dem löchrigen Datenschutz sollte in diese Entscheidung mit einbezogen werden. Denn inzwischen gibt es gute Alternativen aus Europa – zum Beispiel Securepoint, einen deutschen Hersteller hochwertiger und performanter Firewalllösungen mit einem eigenentwickelten, „by Design" gehärteten Betriebssystem, das zertifiziert ohne Backdoors ausgeliefert wird (TeleTrusT).

Quellen: bankinfosecurity.com, cyberinsider.com, thehackernews.com,security.paloaltonetworks.com,securpoint.de,teltrust.de