Aktuell

Wenn der Torwächter fällt: Warum Angreifer gezielt Firewalls und Mail-Gateways übernehmen

Root-Lücken in Palo-Alto-Firewalls und Cisco-Mail-Gateways werden aktiv ausgenutzt. Warum Randgeräte so beliebt sind und was Betreiber tun sollten.

16. Oktober 2026

Security
Netzwerk
Cyber Crime

Firewalls, VPN-Zugänge und Mail-Gateways sollen das Firmennetz schützen. In dieser Woche wurden gleich mehrere dieser Wächter selbst zum Einfallstor: Angreifer nutzen aktiv Sicherheitslücken in Palo-Alto-Firewalls und Cisco-Mail-Gateways aus, die ihnen Root-Rechte verschaffen – also die volle Kontrolle über das Gerät. Dazu kommen Angriffe auf weitere Fernzugangs- und Mail-Lösungen. Das ist kein Zufall, sondern Methode.

Was diese Woche passiert ist

Palo Alto Networks: Am 14. Oktober veröffentlichte der Hersteller Updates für die Lücke CVE-2026-0322 in der Verwaltungsoberfläche von PAN-OS. Wer Netzwerkzugang zur Verwaltung hat und sich anmelden kann, führt damit beliebigen Code mit Root-Rechten auf der Firewall aus. Palo Alto bestätigt sehr begrenzte Angriffe, einen Workaround gibt es nicht – nur das Update hilft. Es ist bereits die dritte aktiv ausgenutzte PAN-OS-Lücke in diesem Jahr.

Cisco Secure Email Gateway: Ebenfalls am 14. Oktober schloss Cisco die aktiv ausgenutzte Lücke CVE-2026-76519. Sie steckt in der Prüfung von Mailanhängen und erlaubt Angreifern ohne jede Anmeldung, Befehle mit Root-Rechten auszuführen. Erst im September hatte Cisco eine andere kritische Lücke im selben Produkt gemeldet: Bei CVE-2026-76461 reichte eine präparierte E-Mail, um das Gateway zu übernehmen. Cisco warnt, dass Angreifer mit Root-Zugriff ihre Spuren auf dem Gerät verwischen können.

Und das ist nicht alles: In derselben Woche meldeten auch Ivanti (Connect Secure) und SonicWall (SMA1000) aktiv ausgenutzte Lücken in ihren Fernzugangslösungen, dazu kamen Berichte über eine ausgenutzte Lücke bei BeyondTrust und eine noch ungepatchte Lücke in FortiMail.

Cisco, September

CVSS 9.8

Schweregrad der Mail-Gateway-Lücke CVE-2026-76461 – übernommen durch eine einzige präparierte E-Mail

Palo Alto, Oktober

CVSS 8.6

Schweregrad von CVE-2026-0322 – Root auf der Firewall mit gültigen Admin-Zugangsdaten

Sichtbar im Netz

Fast 300

Cisco-Mail-Gateways zählt Shadowserver offen im Internet

US-Behörden

3 Tage

Frist der CISA zum Patchen und für eine forensische Prüfung der Palo-Alto-Firewalls

Warum gerade diese Geräte?

Geräte am Netzrand – Firewalls, VPN-Gateways, Mail-Gateways, Fernwartungslösungen – sind für Angreifer aus mehreren Gründen besonders attraktiv. Ein Sicherheitsfachmann brachte es zur September-Lücke bei Cisco auf den Punkt: Eine Root-Lücke ohne Anmeldung in einem Mail-Gateway sei ungefähr der beste Brückenkopf, den ein Angreifer bekommen könne.

Vier Gründe, warum Randgeräte so beliebt sind

Immer erreichbar

Sie müssen aus dem Internet erreichbar sein – das ist ihre Aufgabe. Ein Mail-Gateway soll fremde Mails annehmen, ein VPN-Zugang fremde Verbindungen. Der Angriffsweg ist damit eingebaut.

Maximale Kontrolle

Wer die Firewall oder das Gateway kontrolliert, sieht den Verkehr, kann Regeln ändern und hat meist direkten Weg ins interne Netz.

Blinder Fleck

Auf Appliances läuft keine Endpoint-Sicherheitssoftware. Ein Angreifer, der sich dort einnistet, wird von den üblichen Schutzprogrammen nicht gesehen.

Spuren verwischbar

Mit Root-Rechten lassen sich die Protokolle auf dem Gerät selbst verändern oder löschen. Wer nur dort nachschaut, findet im Zweifel nichts.

Patchen allein reicht nicht

Ein Update schließt die Lücke – es entfernt aber keinen Angreifer, der schon drin ist. Deshalb verlangt die US-Behörde CISA bei der Palo-Alto-Lücke nicht nur das Patchen, sondern auch eine forensische Prüfung der Geräte.

Was Betreiber jetzt tun sollten

Sechs Maßnahmen für Firewalls, VPN- und Mail-Gateways

Rot: sofort. Gelb: nach dem Update und dauerhaft. Grün: die Grundlage für alles andere.

Sofort

Verwaltung abschotten

Die Verwaltungsoberfläche von Firewalls und Gateways gehört weder ins Internet noch ins normale Büronetz, sondern in ein eigenes Verwaltungsnetz.

Erreichbarkeit von außen prüfen und schließen

Sofort

Schnell patchen

Aktiv ausgenutzte Lücken in Randgeräten dürfen nicht auf das nächste Wartungsfenster warten.

Updates für Randgeräte in Stunden statt Wochen

Danach

Kompromittierung prüfen

Unbekannte Admin-Konten, geänderte Regeln, neue Weiterleitungen oder unerwartete Anmeldungen sind Warnzeichen – auch nach dem Patch.

Nach dem Update auf Spuren prüfen

Dauerhaft

Admin-Zugänge härten

Die Palo-Alto-Lücke setzt gültige Zugangsdaten voraus. Mehr-Faktor-Anmeldung und persönliche statt geteilter Admin-Konten machen den Angriff deutlich schwerer.

MFA und persönliche Admin-Konten

Dauerhaft

Protokolle auslagern

Protokolle gehören zusätzlich auf ein unabhängiges System, zum Beispiel ein SIEM. Dort kann ein Angreifer sie nachträglich nicht mehr löschen.

Logs extern sammeln und auswerten

Grundlage

Wissen, was draußen steht

Nur wer weiß, welche Randgeräte mit welchem Softwarestand im Einsatz sind, kann bei einer Warnung sofort reagieren.

Inventar mit Versionen und Supportende

Kein Hersteller ist immun

Unsere Kunden setzen bei Firewalls auf Sophos und bei der E-Mail-Filterung auf Hornetsecurity. Von den Lücken dieser Woche sind sie nicht betroffen. Daraus folgt aber nicht, dass andere Hersteller grundsätzlich unsicher wären – auch Sophos hatte in der Vergangenheit kritische Lücken. Entscheidend ist nicht, ob ein Hersteller Lücken hat, sondern wie schnell er reagiert, wie gut die Geräte eingebunden sind und ob jemand im Ernstfall sofort handelt.

Wie wichtig Tempo ist, haben wir in „Wenn der Angriff vor dem Patch kommt“ beschrieben. Dass auch gepatchte Appliances schnell wieder dran sein können, zeigte die Serie von NetScaler-Lücken.

Wie wir das bei unseren Kunden handhaben

Abgeschottete Verwaltung

Die Verwaltungsoberflächen der von uns betreuten Firewalls sind nicht aus dem Internet erreichbar, Administratoren melden sich mit Mehr-Faktor-Authentifizierung an.

Schnelle Reaktion

Sicherheitswarnungen zu Randgeräten verfolgen wir laufend. Bei aktiv ausgenutzten Lücken patchen wir außerhalb des normalen Wartungsrhythmus.

Automatische Abwehr

Unsere Active-Defense-Pipeline sperrt Angreifer automatisch an der Firewall, etwa bei Password Spraying auf VPN-Zugänge.

Protokolle außer Reichweite

Firewall-Protokolle laufen in unser SIEM und werden dort ausgewertet – unabhängig vom Gerät selbst und rund um die Uhr über unser Monitoring ITPuls.

Mehr zur automatischen Abwehr lesen Sie in „Neu: Automatische Firewall-Sperre bei Password Spraying“ und „VPN-Spray-Attacken“. Zu unserem Betreuungsmodell: Managed Services.

Fazit

Firewalls und Gateways sind die Torwächter des Netzes – und gerade deshalb ein bevorzugtes Ziel. Wer sie betreibt, muss sie behandeln wie das, was sie sind: hochkritische Systeme, die schnell aktualisiert, streng abgesichert und unabhängig überwacht werden müssen. Ein Update schließt die Tür. Ob schon jemand drin ist, verrät erst der Blick in die Protokolle.

Wie gut sind Ihre Firewall und Ihr Mail-Gateway abgesichert?

Wir prüfen, welche Ihrer Randgeräte von außen erreichbar sind, wie aktuell sie sind und ob die Verwaltung ausreichend abgeschottet ist.

Kontakt aufnehmen

Quellen & weiterführende Links

Recherche-Stand: 16. Oktober 2026