Día cero en PAN-OS: CVE-2026-0322 explotado para lograr root
Palo Alto Networks ha corregido una vulnerabilidad de ejecución remota de código de gravedad alta en PAN-OS que los atacantes ya han aprovechado contra sus cortafuegos. El fallo tiene el identificador CVE-2026-0322 y se encuentra en la interfaz de administración de PAN-OS.
Un atacante autenticado y con acceso de red a esa interfaz puede ejecutar código como root en un dispositivo vulnerable. En un aviso publicado el miércoles, la compañía confirmó que ha detectado el uso del fallo en un número reducido de ataques.
"Se ha observado una explotación muy limitada dirigida contra la interfaz de administración de Palo Alto Networks", señaló el fabricante.
Productos afectados y versiones corregidas
La vulnerabilidad tiene una puntuación de gravedad de 8,6. Afecta a los cortafuegos PA-Series y VM-Series, así como a los dispositivos virtuales y M-Series de Panorama. Panorama es la plataforma de gestión centralizada de la compañía para sus cortafuegos. Palo Alto asegura que Cloud NGFW y Prisma Access no están afectados.
Ya hay parches para las versiones afectadas de PAN-OS 10.2, 11.1, 11.2, 12.1 y 12.2. Se espera que la corrección para PAN-OS 11.2.16 llegue el 15 de octubre. Los clientes que sigan con versiones antiguas sin soporte deben pasar a una versión con soporte para estar protegidos.
La vulnerabilidad la descubrió internamente Suraj Siddharudh, investigador principal sénior de seguridad de producto en Palo Alto Networks.
Credenciales y acceso necesarios
El ataque no está al alcance de cualquiera en internet. El atacante necesita credenciales válidas y acceso de red a la interfaz de administración de PAN-OS. Por eso, Palo Alto aconseja a sus clientes que solo permitan el acceso a esa interfaz desde direcciones IP internas de confianza.
No se conocen soluciones alternativas. Los clientes con una suscripción a Threat Prevention pueden activar firmas que ofrecen cierta protección frente a patrones de ataque conocidos, pero la compañía deja claro que esa cobertura tiene lagunas.
"La cobertura limitada en Threat Prevention significa que, aunque los patrones de ataque conocidos pueden identificarse con el Threat ID actual, pueden existir variantes que actualmente no se pueden detectar", advirtió Palo Alto.
"Si este CVE y la configuración necesaria para la exposición afectan a su entorno, recomendamos actualizar a una versión no afectada", añadió la compañía.
Direcciones IP de los atacantes y plazo de CISA
Palo Alto ha compartido tres direcciones IP vinculadas a la explotación del fallo:
- 66.42.72[.]14
- 208.83.239[.]114
- 149.248.47[.]234
Varias preguntas clave siguen sin respuesta. BleepingComputer ha preguntado a la compañía cuándo empezó la explotación, quién está detrás de los ataques y si los atacantes comprometieron cortafuegos o los utilizaron para llegar a redes internas.
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA) ha añadido CVE-2026-0322 a su catálogo de vulnerabilidades explotadas conocidas (KEV). El catálogo KEV recoge fallos cuya explotación activa está confirmada, y su inclusión activa plazos obligatorios para las agencias civiles federales de EE. UU. En este caso, las agencias deben mitigar el fallo antes del 17 de octubre, lo que les deja apenas unos días.
Nuestra opinión
El requisito de contar con credenciales válidas puede hacer que este fallo parezca menos urgente, pero los defensores deberían tener cuidado con esa lectura. Los atacantes suelen hacerse con credenciales mediante phishing, la reutilización de contraseñas filtradas o brechas anteriores, y la explotación confirmada sugiere que al menos algunos de ellos tenían lo que necesitaban. El acceso root en un cortafuegos es prácticamente el punto de apoyo más valioso que puede conseguir un atacante.
El caso encaja además en una tendencia más amplia. Los dispositivos perimetrales y de red no dejan de aparecer en los informes sobre días cero explotados, como se ha visto recientemente con el día cero de Cisco Secure Email Gateway, el fallo SAML de Citrix NetScaler y los ataques contra dispositivos SonicWall SMA1000. Las interfaces de administración expuestas más allá de las redes de confianza siguen siendo un punto débil recurrente.
Los administradores deberían aplicar los parches, restringir el acceso de administración y revisar los registros en busca de las direcciones IP publicadas. Conviene estar atentos a si Palo Alto da más detalles sobre quién está detrás de los ataques y si se llegó a acceder a redes internas.