Cyberangriff auf Sicherheitssysteme von Palo Alto Networks: Forscher berichten von 25 kompromittierten Geräten und rund 19.000 öffentlich erreichbaren Firewalls.
Wenn ausgerechnet der Türsteher die Tür öffnet
Stellen Sie sich vor, Einbrecher überwinden nicht die Alarmanlage, sondern übernehmen den Sicherheitsdienst. Genau dieses Prinzip steckt hinter einer Cyberattacke, über die Sicherheitsforscher Ende Oktober 2026 berichteten.
Im Mittelpunkt stehen Firewalls des Herstellers Palo Alto Networks. Angreifer sollen mehrere Sicherheitslücken kombiniert haben, um 24 öffentlich erreichbare Firewalls und einen internen Managementserver zu kompromittieren und höchste Systemberechtigungen zu erlangen.
Was ist eine Firewall?
Eine Firewall ist ein digitaler Grenzbeamter. Sie kontrolliert den Datenverkehr zwischen Netzwerken und soll unerlaubte Zugriffe verhindern. Unternehmen und Behörden schützen damit Server, Kundendaten, Fernzugänge und interne Systeme. Doch eine Firewall muss selbst sicher sein.
Drei Sicherheitslücken, ein Angriff
Die beschriebene Kette kombiniert CVE-2026-109618 und CVE-2026-109619 mit der Linux-Kernel-Schwachstelle CVE-2026-46300. Über den Verwaltungsdienst konnten Angreifer zunächst Befehle ausführen und anschließend ihre Berechtigungen bis zur höchsten Systemebene, root, ausweiten. Das beweist nicht automatisch einen Datendiebstahl, bedeutet aber eine gravierende Überwindung der Sicherheitsgrenzen.
Warum die Attacke besonders gefährlich ist
Die Werkzeuge waren offenbar auf eine einheitliche technische Umgebung zugeschnitten, einschließlich des Verwaltungsdienstes appweb und PHP 8.0.30. Gerade bei Speicherfehlern entscheidet die konkrete Version häufig darüber, ob ein Angriff zuverlässig funktioniert. Dies war kein beliebiger Massenangriff auf unterschiedlichste PHP-Systeme.
Rund 19.000 Firewalls im Blick
| Untersuchung | Gemeldete Anzahl |
|---|---|
| Identifizierte öffentlich erreichbare PAN-OS-Firewalls | ca. 19.000 |
| Näher untersuchte erreichbare Geräte | ca. 5.000 |
| Ausgewählte Angriffsziele | 240 |
| Kompromittierte Firewalls | 24 |
| Weiterer interner Managementserver | 1 |
Wichtig: 19.000 öffentlich erreichbare Geräte sind nicht gleichbedeutend mit 19.000 verwundbaren oder gehackten Systemen. Auch die 240 ausgewählten Ziele wurden nicht alle nachweislich kompromittiert.
Die Hintertür ins Firmennetz
Besonders brisant sind die berichteten Reverse-SSH-Tunnel. Dabei baut ein bereits kompromittiertes System eine Verbindung nach außen auf, über die weitere Zugriffe möglich werden können. Der Einbrecher muss nicht mehr durch die Haustür, wenn ein übernommenes Gerät ihm einen eigenen Zugang einrichtet. Die Firewall wird damit möglicherweise zum Ausgangspunkt für Angriffe auf interne Netze.
Und künstliche Intelligenz?
Die Forscher beschrieben Hinweise auf KI-gestützte Unterstützung bei Suche und Überprüfung möglicher Ziele, darunter die Systeme DeepSeek und Kimi. Daraus folgt nicht, dass KI die komplette Angriffskette selbstständig entwickelt oder ausgeführt hat. Bereits die Beschleunigung von Recherche und Auswertung kann jedoch die Arbeit von Angreifern erleichtern.
Was bedeutet das für Deutschland?
Auch deutsche Organisationen setzen professionelle Firewalls ein. Aus den vorliegenden Angaben lässt sich aber nicht zuverlässig ableiten, wie viele deutsche Einrichtungen betroffen waren. Entscheidend sind Softwareversion, Konfiguration, Erreichbarkeit der Verwaltungsschnittstellen und verfügbare Sicherheitskorrekturen. Gerade kleinere Unternehmen verlassen sich oft darauf, dass einmal installierte Schutztechnik dauerhaft funktioniert. Diese Annahme kann gefährlich werden.
Was Unternehmen und Behörden prüfen sollten
- Verwaltungszugänge absichern: Die Administrationsoberfläche sollte nicht unnötig öffentlich erreichbar sein.
- Updates prüfen: Herstellerhinweise und passende Sicherheitskorrekturen beachten.
- Verbindungen untersuchen: Ungewöhnliche ausgehende SSH-Verbindungen und verdächtige Verwaltungsaktivitäten analysieren.
- Mehrschichtig schützen: Segmentierung, Zugriffsbeschränkungen, Überwachung und Backups einsetzen.
- Vorfälle aufklären: Nach einer Kompromittierung reicht ein Update allein möglicherweise nicht aus; auch weitere Zugänge und seitliche Bewegungen müssen untersucht werden.
Die Illusion absoluter Sicherheit
Moderne Firewalls sind unverzichtbar, aber keine unfehlbaren Wächter. Je mehr Kontrollfunktionen ein Gerät bündelt, desto schwerer können die Folgen einer Übernahme wiegen. Wer eine Firewall kontrolliert, sitzt an einer besonders empfindlichen Stelle der IT-Infrastruktur.
Fazit: Wenn der Wächter selbst zum Risiko wird
Die gemeldete Angriffskampagne zeigt, wie mehrere Schwachstellen zu einer ernsthaften Bedrohung kombiniert werden können. Sie belegt keine flächendeckende Übernahme Tausender Firewalls, wohl aber praktische Kompromittierungen. Unternehmen und Behörden sollten dies zum Anlass nehmen, ihre Sicherheitsarchitektur zu überprüfen. Denn die teuerste Alarmanlage hilft wenig, wenn der Einbrecher den Schlüssel zum Kontrollraum besitzt.
Quellen
Hunt.io: Technische Untersuchung
Cyber Press: PHP2Shell-Angriff
Redaktioneller Hinweis: Die beschriebenen Kompromittierungen beruhen auf veröffentlichten Sicherheitsanalysen; die vollständige forensische Beweislage liegt der Redaktion nicht unabhängig vor.
#Cybersecurity #Hackerangriff #Firewall #PaloAltoNetworks #PANOS #PHP2Shell #ITSicherheit #Cyberkriminalität #Datensicherheit #Netzwerksicherheit #KünstlicheIntelligenz #Rabenspiegel
