Palo Alto Zero-Day RCE: State-Sponsored Angreifer aktiv seit April
Palo Alto Networks hat eine kritische Remote-Code-Execution-Schwachstelle (CVE-2026-0300) in seinen Firewalls bestätigt, die bereits seit mindestens 9. April 2026 aktiv ausgenutzt wird. Laut Help Net Security deuten Indikatoren darauf hin, dass staatlich unterstützte Threat-Akteure hinter den In-the-Wild-Exploits stehen. The Hacker News berichtet, dass Angreifer durch die Lücke Root-Zugriff auf betroffene Systeme erlangen können — ein direkter Pfad zu vollständiger Kompromiertierung der Netzwerk-Sicherheitsinfrastruktur. Der kritischen Punkt: Zum Zeitpunkt der Disclosure existiert kein Patch. Bleeping Computer dokumentiert, dass die Schwachstelle bereits fast einen Monat lang in aktiven Angriffen exploitiert wurde, bevor Palo Alto Networks die Öffentlichkeit informierte.
Für den deutschsprachigen Mittelstand und Großunternehmen ist dies unmittelbar relevant. Palo Alto Networks PAN-OS Firewalls gehören zur Standard-Infrastruktur bei DSGVO-kritischen Organisationen — Banken, Versicherungen, Behörden, Industriebetriebe. Ein State-Sponsored-Angreifer mit Root-Zugriff kann nicht nur Netzwerk-Traffic abgreifen, sondern auch Audit-Logs manipulieren oder löschen. Das ist ein direktes DSGVO-Szenario (Art. 33 Meldepflicht) und ein EU-AI-Act-Risiko, falls KI-basierte Sicherheitssysteme durch den Zugriff kompromittiert werden. Unternehmen, die PAN-OS einsetzen, müssen sofort inventarisieren, welche Systeme exponiert sind und ob Lateral-Movement-Indikatoren (etwa ungewöhnliche Admin-Sessions) in Logs sichtbar sind.
Die praktische Handlung: Blockiere bis zur Patch-Verfügbarkeit Management-Zugriff auf deine Firewalls auf IP-Whitelist-Basis; aktiviere Enhanced Logging und sende Logs an ein unveränderliches SIEM; prüfe, ob deine KI-Pentesting-Strategie auch Legacy-Infrastruktur wie Firewalls abdeckt — denn Zero-Days sind genau der Moment, um Red-Team-Szenarien zu validieren. Für ein strukturiertes Incident-Response-Szenario siehe das 72-Stunden-DSGVO-Playbook bei LLM-Datenleaks — die Prinzipien (Containment, Forensics, Notification) gelten auch hier.