Die Vulnerability CVE-2026-0257 betrifft die GlobalProtect-Komponente von PAN-OS, eine weit verbreitete Enterprise-VPN-Lösung. Palo Alto Networks entdeckte die Lücke intern und veröffentlichte im Mai einen Patch. Doch neu hinzugekommene Erkenntnisse zeigen: Cyberkriminelle hatten bereits vorher angegriffen — und tun es immer noch.
Forschern des Sicherheitsunternehmens Rapid7 zufolge führten erste erfolgreiche Exploits bereits am 17. Mai zu Eindringversuchen in Umgebungen mehrerer Kunden. Die Angreifer nutzen eine raffinierte Methode: Sie erzeugen gefälschte Authentifizierungs-Cookies, die als „Bearer Token" fungieren und dem VPN-Gateway als legitime Anmeldungen erscheinen. Mit diesen forged Cookies erhalten Angreifer Zugang zu internen Netzwerken, ohne ein einziges Passwort zu kennen.
Zur Exploitation ist allerdings eine spezifische, aber nicht ungewöhnliche Misconfiguration erforderlich: Das Feature “Authentication Override” muss aktiviert sein, und die Zertifikate für die Cookie-Verschlüsselung dürfen nicht identisch mit denen des HTTPS-Service sein. Unter genau diesen Bedingungen können Angreifer das öffentliche Schlüsselmaterial auslesen und eigene Cookies erzeugen, die das System akzeptiert.
Rapid7 entwickelte einen Proof-of-Concept, der die Machbarkeit eindrucksvoll demonstrierte. Nach den ersten Angriffen im Mai folgte eine zweite Angriffswelle am 21. Mai — mit Hinweisen, dass Angreifer tatsächlich VPN-Adressen zugewiesen bekamen und Zugang zu internen Systemen erlangten.
Die Bewertung mit einem CVSS-Score von 7.8 (“medium”) verharmlost das tatsächliche Risiko erheblich. Rapid7 und das CISA behandeln CVE-2026-0257 de facto als kritisch, weil eine VPN-Appliance an der Netzwerk-Peripherie kompromittiert wäre — das ist eine direkte Tor-Öffnung ins Unternehmensnetz.
Zum Vergleich: Auch der verwandte Zero-Day CVE-2025-0108, der PHP-Script-Aufrufe ohne Authentifizierung erlaubte, führte zu ähnlichen Warnungen. Palo Alto Networks ist ein bevorzugtes Ziel, weil erfolgreiche Exploits den Weg ins Firmennetz ebnen.
Unternehmen mit betroffenen Versionen sollten unverzüglich patchen. Palo Alto Networks und Rapid7 urteilen einstimmig: Höchste Priorität. Sofern schnelles Patching unmöglich ist, sollten Administratoren sofort die “Authentication Override”-Funktion deaktivieren oder exklusive Zertifikate für Cookie-Verschlüsselung generieren und das Portalzertifikat strikt trennen.”,