Ein geteiltes Zertifikat lässt Qilin herein

Zehn Wochen vom Hinweis bis zur Ransomware

Palo Alto Networks veröffentlichte seinen Hinweis zu CVE-2026-0257 am 13. Mai 2026 und überarbeitete ihn zuletzt am 3. Juni. Der Text ist zurückhaltend. Er stuft das Problem mit CVSS 7.8 als hoch ein, setzt die Dringlichkeit auf die höchste Stufe und hält fest, dass dem Unternehmen begrenzte Ausnutzungsversuche auf ungepatchten PAN-OS-Geräten ohne angewandte Abhilfen bekannt geworden sind.

Der übrige Kalender füllte sich darum herum. Rapid7 berichtete, ab dem 17. Mai Ausnutzung in Kundenumgebungen beobachtet zu haben. Die CISA nahm die Lücke am 29. Mai in ihren Katalog bekannter ausgenutzter Schwachstellen auf, was Bundesbehörden nach der verbindlichen Richtlinie drei Tage zur Behebung gab. Im Juni untersuchte Arctic Wolf Labs dann mehrere Einbrüche, bei denen diese Schwachstelle der Erstzugang und Qilin-Ransomware das Ergebnis war.

Zehn Wochen trennen einen zurückhaltenden Hinweis von einem darauf zurückgeführten Verschlüsselungsvorfall. Nichts an dieser Abfolge ist ungewöhnlich. Was diesen Fall eine Stunde Ihrer Woche wert macht, ist, dass die Gefährdungsfrage hier nicht die ist, für deren Beantwortung Ihre Werkzeuge eingerichtet sind.

Die Lücke steckt in einer Konfiguration, nicht in einer Version

CVE-2026-0257 ist eine Umgehung der Authentifizierung im GlobalProtect-Portal und -Gateway. Sie erlaubt einem nicht authentifizierten Angreifer aus der Ferne, die Authentifizierung zu umgehen und ohne gültige Zugangsdaten eine VPN-Sitzung aufzubauen. Das ist die Schlagzeile, und für sich genommen wäre es ein gewöhnlicher Patch-Vorgang.

Die Vorbedingung macht den Unterschied. Authentication Override ist eine nicht standardmäßig aktive Funktion: Sie lässt ein Portal oder Gateway ein Sitzungs-Cookie ausstellen, damit sich Nutzer nicht bei jeder Verbindung neu anmelden müssen, ähnlich einem Bearer-Token. Ausnutzbar wird die Schwachstelle erst, wenn das Zertifikat, mit dem diese Cookies ver- und entschlüsselt werden, auch für etwas anderes genutzt wird, etwa für den HTTPS-Dienst des Portals oder Gateways selbst. Ein Zertifikat, zwei Aufgaben, und die Umgehung existiert.

Sehen Sie, was das mit Ihrer Bestandsaufnahme macht. Betroffen sind Stände über PAN-OS 12.1, 11.2, 11.1 und 10.2 hinweg, mit korrigierten Versionen in jedem Zweig, dazu Prisma Access 10.2 bis 11.2.7-h12. Cloud NGFW ist nicht betroffen. Ein Gerät auf einem betroffenen Stand mit abgeschaltetem Authentication Override ist jedoch nicht gefährdet, und eines mit einem eigenen Zertifikat ebenso wenig. Ihr Bestandssystem kennt die Version. Die Zertifikatsbindung kennt es fast sicher nicht. Die Frage, die Sie schnell beantworten können, und die Frage, die Ihr Risiko bestimmt, sind also zwei verschiedene Fragen.

Wie die Juni-Einbrüche von innen aussahen

Arctic Wolf Labs beschreibt ein vertrautes Muster, kompetent ausgeführt. Nach dem Aufbau einer VPN-Sitzung ohne Zugangsdaten griffen die Akteure LSASS ab und extrahierten NTDS, um Zugangsdaten zu ernten, und bewegten sich dann seitlich über PsExec und administrative Windows-Freigaben. In den Fällen doppelter Erpressung verließen die Daten das Haus über Rclone zu MEGA, bevor irgendetwas verschlüsselt wurde.

Zwei operative Details lohnen die Hervorhebung. Die Ransomware wurde in C:\PerfLogs\ abgelegt, einem Verzeichnis, das laut den Forschenden von Werkzeugen zur Dateiintegrität selten überwacht wird. Und die Akteure löschten unternehmensweit die Windows-Ereignisprotokolle per PowerShell. Die Verweildauer schwankte: Manche Fälle betrieben zuerst ausgiebige Aufklärung, andere gingen rasch vom Zugang zur unternehmensweiten Verschlüsselung über.

Das Löschen der Protokolle ist der Teil mit planerischer Folge. Hängt Ihre Rekonstruktion des Vorfalls an lokalen Windows-Ereignisprotokollen, entfernt dieser Akteur Ihre Rekonstruktion als Routineschritt, nicht als Zugabe. Diese Protokolle vom Host weg dorthin zu leiten, wo dieselben Zugangsdaten nicht hinreichen, ist keine Aufwertung der Vorfallsbearbeitung. Es ist der Unterschied zwischen einer Untersuchung und einer Vermutung.

Begrenzte Ausnutzungsversuche war zutreffend und unbrauchbar

Halten Sie den Satz des Herstellers gegen das Ergebnis. Am 3. Juni waren Palo Alto Networks begrenzte Ausnutzungsversuche bekannt. Ende Juni rekonstruierte Arctic Wolf Ransomware-Einbrüche, die mit derselben Lücke begannen. Beide Aussagen stimmen, und die erste konnte vor der zweiten niemals warnen.

Der Grund ist strukturell und hat mit diesem Hersteller nichts zu tun. Ein Herstellerhinweis meldet, was der Hersteller sehen kann: Fälle, die seinen Support erreichten, Telemetrie von Kunden, die sie teilen, ihm offengelegte Vorfälle. Das ist ein echtes Signal über die Sicht des Herstellers. Es ist keine Messung davon, wie viele Angreifer die Technik besitzen, und kann es nicht sein, denn die Lücke zwischen begrenzten Versuchen und Massenausnutzung schließt sich dadurch, dass ein funktionierender Exploit den Besitzer wechselt, nicht durch irgendetwas, das der Hersteller tut.

Die praktische Übersetzung ist eine Gewohnheit, kein Werkzeug. Lesen Sie Schweregradsprache als Beschreibung dessen, was bislang beobachtet wurde, und lesen Sie die Vorbedingung als Beschreibung Ihrer eigenen Gefährdung. Hier ist die Vorbedingung eine Zertifikatsbindung, die Sie heute prüfen können, und sie gilt in einem Monat noch, wenn die Formulierung zur Ausnutzung längst weitergezogen ist.

Die Prüfung, die einen Nachmittag dauert

Beginnen Sie mit der Konfiguration statt mit dem Upgrade, denn die von Palo Alto Networks angebotene Abhilfe braucht kein Wartungsfenster. Öffnen Sie die Authentifizierungsreiter an jedem GlobalProtect-Portal und -Gateway. Ist Authentication Override abgeschaltet, sind Sie auf diesem Gerät nicht gefährdet und können weitergehen. Ist es aktiv, bestätigen Sie, dass das Zertifikat für das Override-Cookie ausschließlich diesem Zweck dient und mit nichts anderem geteilt wird, und erzeugen Sie andernfalls ein neues. Das schaffen die meisten Bestände an einem Nachmittag, und es hält, ob das Upgrade in diesem Quartal landet oder nicht.

Führen Sie danach das Upgrade sauber durch, je Zweig, denn jede PAN-OS-Linie hat eigene korrigierte Stände statt einer einzigen Zahl zum Merken. Und trennen Sie Ihre Durchsetzungspunkte zuerst auf dem Papier: Cloud NGFW liegt ganz außerhalb, Prisma Access hat eigene korrigierte Versionen, und eine Statusmeldung, der Bestand sei gepatcht, wird ohne diese Unterscheidung in die eine oder andere Richtung falsch sein. Europäische Betreiber, die diese Gateways als Grenze einer wesentlichen oder wichtigen Einrichtung nach NIS2 betreiben, haben zusätzlich das Problem, dass die Frist für erhebliche Vorfälle nicht pausiert, während der Bestand kartiert wird.

Weiterlesen: Patchen von SharePoint schließt die Tür nicht mehr  |  Ein totes Gebäude kostet mehr als ein Lösegeld