Explotación activa de la vulnerabilidad de ejecución remota de código en Palo Alto PAN-OS (CVE-2026-0322)

Palo Alto Networks ha publicado actualizaciones de seguridad que corrigen la vulnerabilidad CVE-2026-0322, una vulnerabilidad de alta gravedad relacionada con la ejecución remota de código (RCE) tras autenticación que afecta a la interfaz de gestión de PAN-OS. El proveedor ha confirmado que la vulnerabilidad está siendo explotada activamente en el mundo real, y se han observado intentos de explotación dirigidos a interfaces de gestión expuestas.

Si la explotación tiene éxito, un atacante autenticado con acceso de red a la interfaz de gestión puede ejecutar código arbitrario con privilegios de root, lo que podría provocar el compromiso total del cortafuegos o de la plataforma de gestión Panorama.

La vulnerabilidad se ha añadido al Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de la CISA, lo que pone de relieve el elevado riesgo y exige una corrección prioritaria por parte de las agencias federales de EE. UU.

Detalles de la vulnerabilidad

Según Palo Alto Networks, la vulnerabilidad se encuentra en la interfaz de gestión de PAN-OS y permite a los atacantes autenticados con acceso a la red ejecutar comandos arbitrarios como usuario root.

Versiones corregidas

Actualiza a las siguientes versiones de PAN-OS o posteriores:

• PAN-OS 12.2.4+
• PAN-OS 12.1.4-h12+, 12.1.7-h8+, 12.1.10-h2+
• PAN-OS 11.2.4-h22+, 11.2.7-h21+, 11.2.10-h15+, 11.2.13-h3+, 11.2.16+
• PAN-OS 11.1.4-h37+, 11.1.6-h39+, 11.1.7-h11+, 11.1.10-h35+, 11.1.13-h15+, 11.1.16-h3+
• PAN-OS 10.2.7-h38+, 10.2.10-h41+, 10.2.13-h26+, 10.2.16-h11+, 10.2.18-h12+

Productos afectados

Los siguientes productos se ven afectados:

• Cortafuegos de la serie PA
• Cortafuegos de la serie VM
• Dispositivos virtuales Panorama
• Dispositivos Panorama de la serie M

Los siguientes servicios nose ven afectados:

• NGFW en la nube
• Prisma Access

Indicadores de compromiso observados

Palo Alto Networks ha identificado las siguientes direcciones IP como vinculadas a los intentos de explotación observados:

Nota: Estos indicadores deben considerarse únicamente como pistas para la investigación. El simple bloqueo de estas direcciones IP no mitigará la vulnerabilidad.

Medidas recomendadas

1. Aplique inmediatamente los parches a los dispositivos afectados con una versión corregida de PAN-OS.
2. Revisar todas las interfaces de gestión expuestas a Internet.
3. Restrinja el acceso administrativo únicamente a redes de gestión internas de confianza.
4. Desactive la exposición directa a Internet de la interfaz de gestión.
5. Analice los registros de autenticación en busca de actividades sospechosas por parte de los administradores.

Palo Alto Networks recomienda específicamente:

• Restringir el acceso a la interfaz de gestión a direcciones IP internas de confianza.
• Utilizar un host de enlace dedicado que sirva como único punto de acceso de gestión.

Otras prácticas recomendadas:

• Aplicar la autenticación multifactorial (MFA) a todas las cuentas administrativas.
• Implementar la gestión de acceso privilegiado (PAM).
• Separar el tráfico de gestión de las redes de producción.
• Habilitar el registro exhaustivo de auditoría y la integración con el sistema SIEM.
• Supervisa las cuentas de administrador nuevas o modificadas.

Si le preocupa alguna de las amenazas descritas en este boletín o necesita ayuda para determinar qué medidas debe tomar para protegerse de las amenazas más importantes a las que se enfrenta su organización, póngase en contacto con su gestor de cuentas o, si lo prefiere, contáctenos para averiguar cómo puede proteger su organización.