top of page
Buscar

INCIBE-CERT alerta de la explotación activa de CVE-2026-0322 en cortafuegos Palo Alto Networks PAN-OS para ejecutar código como root

hace 7 horas
5 min de lectura
Logo Paloalto networks
Logo Paloalto networks

El Instituto Nacional de Ciberseguridad (INCIBE-CERT) ha emitido un aviso de seguridad de severidad alta (INCIBE-2026-746) tras confirmarse la explotación activa en la naturaleza (in the wild) de la vulnerabilidad CVE-2026-0322 en PAN-OS, el sistema operativo de los cortafuegos perimetrales de Palo Alto Networks. El fallo reside en la interfaz de administración del dispositivo y permite que un atacante autenticado con permisos administrativos ejecute código arbitrario con privilegios de superusuario (root), comprometiendo por completo el plano de control del cortafuegos. La alerta afecta a cinco ramas activas de PAN-OS en dispositivos físicos PA-Series, virtuales VM-Series y consolas de gestión Panorama, lo que ha llevado a la agencia estadounidense CISA a incluir el fallo en su catálogo de vulnerabilidades explotadas conocidas (KEV) y exigir su remediación urgente. 


Desarrollo y análisis técnico

La vulnerabilidad CVE-2026-0322 está catalogada bajo el estándar CWE-94 (Improper Control of Generation of Code), un defecto de inyección de código que se produce cuando el software construye o interpreta fragmentos ejecutables a partir de entradas de usuario sin aplicar una neutralización o validación adecuada. En este caso, el componente afectado es la interfaz web de administración (Management Interface) de PAN-OS.   

A diferencia de las vulnerabilidades de ejecución remota de código previas a la autenticación (pre-auth RCE), la explotación de CVE-2026-0322 presenta requisitos específicos que definen su vector de ataque:

  • Puntuación y vector CVSS 4.0: Palo Alto Networks le asigna una puntuación base de 8.6 (Alta) y urgencia máxima (HIGHEST), bajo el vector CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:A/AU:N/R:U/V:D/RE:M/U:Red.

  • Requisito de acceso y privilegios (PR:H): El atacante necesita conectividad de red hacia la interfaz de administración del dispositivo y contar previamente con credenciales válidas de nivel administrador. No se requiere ninguna configuración especial en el cortafuegos para que el sistema sea vulnerable.   

  • Escalada de la interfaz al sistema subyacente: En una arquitectura de seguridad segmentada, un administrador de la consola web opera dentro de los límites impuestos por la interfaz de gestión de PAN-OS. Sin embargo, al explotar esta inyección de código, el atacante rompe ese aislamiento y logra ejecutar comandos directamente en el sistema operativo subyacente con privilegios de root.   

En escenarios reales de intrusión, este tipo de fallos posautenticación no se emplea como vector de entrada inicial anónimo, sino como herramienta de consolidación, evasión y persistencia tras el robo previo de credenciales administrativas (mediante infostealers, reutilización de contraseñas, phishing o compromiso de un servidor de salto interno). Una vez obtenido el control root sobre el cortafuegos perimetral, el actor de amenaza puede alterar políticas de filtrado y reglas NAT, interceptar tráfico en tránsito, extraer secretos almacenados en la configuración, implantar puertas traseras persistentes que sobrevivan a cambios de contraseñas convencionales y manipular los registros locales (logs) para ocultar su actividad. 


Alcance e impacto verificado

El cruce de los boletines oficiales de Palo Alto Networks, CISA e INCIBE-CERT permite establecer el siguiente estado de situación verificado:

  • Confirmación de explotación activa: Palo Alto Networks publicó su aviso oficial el 14 de octubre de 2026 etiquetando la madurez del exploit como ATTACKED, confirmando haber observado una "explotación muy limitada" dirigida contra la interfaz de administración en entornos reales. Ese mismo día, CISA incorporó CVE-2026-0322 a su catálogo KEV con fecha límite de aplicación de parches para agencias federales estadounidenses fijada el 17 de octubre de 2026, mientras que INCIBE-CERT emitió la alerta para España el 15 de octubre de 2026.   

  • Dispositivos y ramas afectadas: El fallo impacta a los cortafuegos físicos PA-Series, cortafuegos virtuales VM-Series y dispositivos de gestión Panorama (virtuales y M-Series) en cinco ramas de PAN-OS, además de cualquier versión anterior que ya se encuentre fuera de soporte (End-of-Life). Los servicios Cloud NGFW y Prisma Access no están afectados.   

Rama de PAN-OS

Estado de afectación

Primera versión corregida (según subrama)

PAN-OS 12.2

Versiones anteriores a la corregida

12.2.4 o posterior

PAN-OS 12.1

Versiones anteriores a las corregidas

12.1.4-h12, 12.1.7-h8 o 12.1.10-h2

PAN-OS 11.2

Versiones anteriores a las corregidas

11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 o 11.2.16

PAN-OS 11.1

Versiones anteriores a las corregidas

11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 o 11.1.16-h3

PAN-OS 10.2

Versiones anteriores a las corregidas

10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 o 10.2.18-h12


Mitigación y recomendaciones   

El fabricante indica que no existe una solución alternativa (workaround) que elimine por completo la vulnerabilidad en equipos expuestos sin aplicar el parche. Los equipos de administración de sistemas y seguridad deben ejecutar las siguientes medidas por orden de prioridad:

  1. Actualización inmediata de PAN-OS: Instalar las versiones corregidas correspondientes a la rama desplegada en todos los dispositivos PA-Series, VM-Series y Panorama. Aquellas organizaciones que operen versiones en End-of-Life deben migrar a una rama soportada, ya que no recibirán parches de seguridad.

  2. Aislamiento estricto del plano de gestión: Restringir el acceso de red a la interfaz de administración exclusivamente a un servidor de salto dedicado (jump box) o a un rango cerrado de direcciones IP internas de administración, eliminando cualquier exposición directa a Internet o a segmentos de red corporativos de propósito general.

  3. Activación de firmas en Threat Prevention (medida de contención parcial): Para organizaciones con suscripción activa a Threat Prevention, Palo Alto Networks recomienda habilitar los identificadores Threat ID 510046 y 510047 (incluidos a partir del paquete de contenido Applications and Threats versión 9159-10287 o superior). Para que esta inspección sea efectiva, el tráfico entrante hacia los servicios de gestión debe pasar por un puerto del plano de datos con descifrado activo y reemplazo del certificado de gestión de tráfico entrante. El propio fabricante advierte que estas firmas solo cubren patrones de ataque conocidos y pueden no detectar variantes del exploit, por lo que deben tratarse únicamente como medida temporal hasta completar el parcheado.

  4. Auditoría de accesos administrativos: Dado que la explotación requiere credenciales válidas de administrador, si la interfaz de gestión ha estado expuesta a redes no confiables antes de aplicar el parche, se recomienda auditar los registros de inicio de sesión, verificar cambios no autorizados en la configuración y rotar las credenciales y certificados administrativos.   

Fuentes   

 
 
 

Comentarios

bottom of page