Una vulnerabilidad de ejecución remota de código en la interfaz de gestión de PAN-OS ya está siendo utilizada en ataques, aunque Palo Alto Networks afirma que la actividad observada hasta ahora es muy limitada. Identificada como CVE-2026-0322, permite a un atacante autenticado con acceso de red ejecutar código con privilegios de root en determinados firewalls de la compañía.
La alerta requiere atención inmediata en organizaciones que administran equipos PA-Series o VM-Series y dispositivos Panorama. El fallo tiene una puntuación CVSS de 8,6 sobre 10. Palo Alto ha publicado versiones corregidas para varias ramas del sistema y recomienda restringir el acceso de administración a direcciones internas de confianza. La actualización es la solución definitiva: la empresa asegura que no hay una mitigación alternativa completa.
Qué permite hacer CVE-2026-0322
El fallo afecta a la interfaz de administración de PAN-OS. Para explotarlo, el atacante necesita credenciales válidas y acceso de red a esa interfaz; no es un ataque anónimo que pueda lanzarse desde cualquier conexión sin autenticación. Sin embargo, si se cumplen esas condiciones, el código puede ejecutarse con privilegios de root en el firewall, lo que puede comprometer la confidencialidad, integridad y disponibilidad del dispositivo.
La distinción importa: no hay base para decir que todos los firewalls de Palo Alto estén expuestos directamente a Internet ni que cualquier usuario pueda tomar su control. El riesgo se dispara si la interfaz de gestión está accesible desde redes no confiables o desde Internet. El fabricante asegura que no hace falta una configuración especial para que un equipo con una versión vulnerable se vea afectado.
Versiones afectadas y correcciones
La vulnerabilidad afecta a PAN-OS en los firewalls PA-Series y VM-Series, además de Panorama en sus variantes virtuales y M-Series. Palo Alto recomienda instalar la versión corregida que corresponda a la rama menor actualmente utilizada; no basta con actualizar a cualquier versión de numeración superior si se está siguiendo una rama de mantenimiento distinta.
| Rama | Versiones corregidas indicadas por Palo Alto |
|---|---|
| PAN-OS 12.2 | 12.2.4 o posterior |
| PAN-OS 12.1 | 12.1.4-h12, 12.1.7-h8 o 12.1.10-h2, según la versión instalada |
| PAN-OS 11.2 | 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 o 11.2.16, según la rama; el aviso señalaba el 15 de octubre como fecha estimada para 11.2.16 |
| PAN-OS 11.1 | 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 o 11.1.16-h3 |
| PAN-OS 10.2 | 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 o 10.2.18-h12 |
Los números de la tabla no son intercambiables: hay que comprobar en el aviso oficial cuál corresponde a la versión menor concreta del dispositivo. Las instalaciones que ya no reciben soporte deben migrar a una versión mantenida y corregida. Cloud NGFW y Prisma Access no están afectados por este CVE, según Palo Alto Networks.
Qué deberían hacer ahora los administradores
La primera medida es revisar qué equipos ejecutan una versión afectada y priorizar los que tengan expuesta la interfaz de administración. Palo Alto aconseja limitarla a direcciones IP internas de confianza y, si es posible, permitir el acceso únicamente desde un sistema intermedio controlado —por ejemplo, un jump box—. La administración no debería quedar accesible desde Internet ni desde segmentos de red que no la necesiten.
Después, hay que instalar la actualización recomendada para la rama concreta y verificar que el dispositivo y Panorama ejecutan efectivamente la versión corregida. El fabricante no conoce una solución temporal que sustituya el parche. Las reglas de Threat Prevention 510046 y 510047 pueden ofrecer cobertura limitada a clientes con la suscripción correspondiente, pero dependen de una configuración específica —incluida la inspección SSL— y no bloquean necesariamente variaciones del ataque. Palo Alto las presenta como protección parcial, no como reemplazo de la actualización.
Indicadores de compromiso y límites de lo que se sabe
El aviso del fabricante vincula los intentos observados con tres direcciones IP: 66[.]42[.]72[.]14, 208[.]83[.]239[.]114 y 149[.]248[.]47[.]234. Los equipos de seguridad pueden contrastarlas con sus registros, pero la ausencia de esas direcciones no demuestra que un dispositivo esté limpio: se trata de indicadores asociados a actividad observada, no de una lista necesariamente completa.
Palo Alto describe la explotación como muy limitada y no ha identificado públicamente quién está detrás de los ataques ni desde cuándo se producen. Tampoco ha detallado cuántas organizaciones o equipos se habrían visto comprometidos. Por ahora, el dato firme es que hay explotación observada y que el acceso administrativo debe tratarse como una superficie prioritaria.
Un parche que conviene adelantar
CVE-2026-0322 es un fallo de riesgo alto en una capa crítica de la red empresarial. La necesidad de credenciales reduce el abanico de atacantes, pero no elimina el peligro cuando se filtran cuentas, se reutilizan contraseñas o la interfaz de administración queda expuesta. Una vez dentro, la ejecución como root en el firewall convierte el incidente en un problema de infraestructura, no solo de una cuenta comprometida.
Para los responsables de sistemas, la ruta es clara: identificar versiones, cerrar accesos de administración innecesarios, revisar actividad sospechosa e instalar el parche correspondiente cuanto antes. Bytecora ya ha cubierto otras alertas recientes de seguridad, como el fallo explotado de Ivanti Connect Secure y la vulnerabilidad de Windows que podía eludir una advertencia de seguridad. En este caso, la recomendación del fabricante es todavía más directa: limitar el acceso y actualizar.
<span class="dsq-postid" data-dsqidentifier="9552 https://bytecora.net/?p=9552">1 comentario
Pingback: Cisco CVE-2026-76519: ataques activos a Secure Email Gateway