Die Bedrohung ist konkret und akut. Laut Palo Alto Networks’ Threat Intelligence Unit 42 begannen erste Exploitations-Versuche am 9. April 2026 gegen ein PAN-OS-Gerät. Eine Woche später gelang es den Angreifern, Remote Code Execution zu erzielen und Shellcode einzuschleusen. Danach räumten die Täter ihre Spuren auf, indem sie Crash-Kernel-Meldungen löschten und Nginx-Crash-Logs entfernten – ein klassisches Vorgehen zur Verschleierung.
Die technische Ursache liegt in einem Buffer Overflow im Captive Portal. Nachdem die Firewalls kompromittiert waren, deponierten die Angreifer zwei Open-Source-Tools: Earthworm und ReverseSocks5. Diese ermöglichen es, SOCKS5-Server einzurichten und Proxy-Tunnel aufzubauen, um Netzwerk-Beschränkungen zu umgehen und NAT-Firewall-Sperren zu überwinden. Earthworm wurde bereits in früheren Operationen von chinesisch-sprechenden Gruppen wie Volt Typhoon und APT41 eingesetzt – ein Indiz für das Threat-Actor-Profil.
Der Umfang der Exposition ist beachtlich: Das Internet Threat-Tracking-Unternehmen Shadowserver identifizierte über 5.400 Internet-exponierte PAN-OS VM-Series Firewalls weltweit, die Mehrheit in Asien (2.466) und Nordamerika (1.998). Für europäische und deutsche Installationen sollten Zahlen folgen.
Palo Alto kündigte an, dass Patches ab Mittwoch, 13. Mai verfügbar sein werden. Cloud NGFW und Panorama-Appliances sind nicht betroffen. Bis zum Patch empfiehlt der Hersteller dringend, das Authentication Portal auf vertrauenswürdige Zonen zu beschränken oder zu deaktivieren. Administratoren können schnell überprüfen, ob ihr System anfällig ist: Device > User Identification > Authentication Portal Settings.
Die U.S. Cybersecurity and Infrastructure Security Agency (CISA) listete CVE-2026-0300 sofort in ihrem Katalog aktiv ausgebeuteter Schwachstellen auf und ordnete US-Behörden an, vulnerable Firewalls bis Samstag, 9. Mai abzusichern. Dies unterstreicht die Kritikalität.
Dieser Angriff illustriert einen beunruhigenden Trend: Threat Groups konzentrieren sich auf Edge-Netzwerk-Geräte wie Firewalls, da diese oft weniger instrumentiert und überwacht sind als klassische Endpoints. Für deutsche Organisationen ist dies ein Weckruf, Firewall-Sicherheit und Patch-Management ernst zu nehmen.