Schwachstellen werden geladen…
Schwachstellen werden geladen…
CVE-2026-0273
Eine Sicherheitslücke durch Befehlsinjektion in der PAN-OS®-Software von Palo Alto Networks ermöglicht es einem authentifizierten Administrator, Systembeschränkungen zu umgehen und beliebige Befehle als Root-Benutzer auszuführen. Um diese Schwachstelle ausnutzen zu können, muss der Benutzer Zugriff auf die PAN-OS-CLI oder die Web-Benutzeroberfläche haben. Das durch diese Schwachstelle verursachte Sicherheitsrisiko wird erheblich minimiert, wenn der CLI-Zugriff auf eine begrenzte Gruppe von Administratoren beschränkt wird und der Zugriff auf die Verwaltungs-Weboberfläche gemäß unseren empfohlenen Best-Practice-Richtlinien für die Bereitstellung ausschließlich auf vertrauenswürdige interne IP-Adressen beschränkt wird: https://live.paloaltonetworks.com/t5/community-blogs/tips-amp-tricks-how-to-secure-the-management-access-of-your-palo/ba-p/464431. Dieses Problem betrifft die PAN-OS-Software auf Firewalls der PA-Serie und der VM-Serie sowie auf Panorama (virtuell und M-Serie). Cloud NGFW und Prisma® Access sind von dieser Sicherheitslücke nicht betroffen.
Automatisch übersetzt mit DeepL. Der Originaltext steht unter Originale Quelleninformationen.
Dieser Datensatz: Live-Anbindung— zuletzt abgerufen: 8. November 2026 um 08:18.
Hersteller
Veröffentlicht
11. Juni 2026
Zuletzt geändert
23. Juli 2026
Direkt aus NVD, CISA oder vom Hersteller übernommen — teils auf Englisch, unverändert gegenüber der Quelle.
A command injection vulnerability in Palo Alto Networks PAN-OS® software enables an authenticated administrator to bypass system restrictions and run arbitrary commands as a root user. To be able to exploit this issue, the user must have access to the PAN-OS CLI or Web UI. The security risk posed by this issue is significantly minimized when CLI access is restricted to a limited group of administrators and by restricting access to the management web interface to only trusted internal IP addresses according to our recommended best practice deployment guidelines https://live.paloaltonetworks.com/t5/community-blogs/tips-amp-tricks-how-to-secure-the-management-access-of-your-palo/ba-p/464431 . This issue is applicable to PAN-OS software on PA-Series and VM-Series firewalls and on Panorama (virtual and M-Series). Cloud NGFW and Prisma® Access are not affected by this vulnerability.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Attack Vector
NETWORK
Privileges Required
HIGH
User Interaction
NONE
Vertraulichkeit
Hoch
Integrität
Hoch
Verfügbarkeit
Hoch
Ausnutzungswahrscheinlichkeit innerhalb von 30 Tagen
1.3%
Perzentil
71e
Quelle: FIRST.org, aktualisiert am 7. November 2026.
Contact customer support to receive patch and update information
Unsere eigene Einordnung und unser Kontext zu den obigen Quelldaten.
IACS-Radar-Einordnung
Unsere eigene Einordnung und unser Kontext zu dieser Schwachstelle — keine offizielle Quelle.
IACS-Radar-Prioritätswert
Basierend auf CVSS 7.2, EPSS 1.3%, industrielle Relevanz 60/100; angehoben wegen Relevanz für Internet-Exposition.
Kombiniert CVSS, EPSS, KEV-Status, industrielle Relevanz und Expositionsrelevanz — eine Ergänzung, kein Ersatz für die einzelnen Werte darunter und darüber.
Voraussetzungen für eine Ausnutzung
Operative Auswirkungen & Energierelevanz
Möglicher Verlust der Sicht auf oder der Kontrolle über den Prozess bei erfolgreicher Ausnutzung.
Als relevant für den Energiesektor eingestuft aufgrund von: Vermeld in een officiële CISA ICS Advisory, wat directe relevantie voor industriële besturingssystemen bevestigt. Der Hersteller „Siemens“ ist ein bekannter Lieferant von Ausrüstung für den Energiesektor. Die Beschreibung nennt ein industrielles Protokoll: https.
Dieses Produkt verwendet Protokolle, die für die Analyse der Internet-Exposition relevant sind. Ein aus dem Internet erreichbarer Dienst ist nicht automatisch verwundbar.
Empfohlene defensive Maßnahmen
Industrieller Relevanzwert
Automatisch als industriell relevant eingestuft anhand von CISA-/NVD-Signalen (siehe Gründe).
Klassifiziert von IACS Radar-analysepijplijn (geautomatiseerd) am 8. November 2026.
IEC-62443-Zuordnung
Automatische IACS-Radar-Einordnung anhand der gemeldeten CWE-Schwächeklassifizierung; keine offizielle Zertifizierungsaussage.