Palo Alto PAN-OS: inyección de código como root, explotada

📌 Novedades posteriores: Zero-day PAN-OS CVE-2026-0322: versiones corregidas e IoC (14 de octubre de 2026)

El 14 de octubre de 2026 CISA añadió al catálogo Known Exploited Vulnerabilities (KEV) la CVE-2026-0322, una vulnerabilidad de Palo Alto Networks PAN-OS en la interfaz de gestión. Según la descripción publicada en la ficha de NVD, un atacante autenticado con acceso de red a la interfaz puede ejecutar código arbitrario con privilegios de root en el firewall. La gravedad indicada por Palo Alto Networks es alta: CVSS 4.0 8.6.

La entrada en el catálogo KEV indica que CISA tiene pruebas de explotación activa. En el momento de redactar este artículo solo hay una fuente disponible, el aviso de CISA con la ficha de NVD vinculada: todos los detalles que siguen proceden de ahí.

Qué ha pasado

CISA incluyó la CVE-2026-0322 en el KEV con la descripción “Palo Alto Networks PAN-OS Code Injection Vulnerability” y fijó el 17 de octubre de 2026 como plazo para las agencias federales de Estados Unidos: tres días. En el catálogo, el uso en campañas de ransomware figura como “desconocido”.

El aviso pide aplicar las mitigaciones según las instrucciones del fabricante, conforme a la directiva BOD 26-04 sobre la priorización de las actualizaciones en función del riesgo y a los requisitos de triaje forense de CISA. Para los servicios en la nube se aplican las indicaciones de la misma directiva; si no hay mitigaciones disponibles, el producto debe dejar de usarse. El aviso pide también evaluar la exposición a Internet de cada sistema.

Ni CISA ni la ficha de NVD dan detalles sobre los ataques observados, los autores, las víctimas o cómo obtuvieron los atacantes el acceso autenticado.

Detalles técnicos

• CVE: CVE-2026-0322, publicada el 14 de octubre de 2026. La ficha de NVD está en estado “Received”: el NIST aún no ha hecho su análisis.
• Productos afectados: PAN-OS en los firewalls PA-Series y VM-Series y en Panorama (virtual y M-Series).
• Productos no afectados: según la descripción, Cloud NGFW y Prisma Access no están afectados.
• Componente: la interfaz de gestión de PAN-OS.
• Condición: el atacante debe estar autenticado y tener acceso de red a la interfaz de gestión.
• Efecto: ejecución de código arbitrario con privilegios de root en el dispositivo.
• Debilidad: CWE-94 (Code Injection), es decir, la posibilidad de hacer que el sistema interprete y ejecute código proporcionado por el atacante.
• Gravedad: CVSS 4.0 8.6 (alta), valoración proporcionada por Palo Alto Networks. El vector AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H indica un ataque por red, de baja complejidad, sin interacción del usuario, pero que requiere privilegios elevados; el impacto en la confidencialidad, integridad y disponibilidad del dispositivo es alto. En el vector Palo Alto indica también E:A (explotación observada) y U:Red, el nivel más alto de la métrica de urgencia del fabricante.
• Versiones: las fuentes disponibles no enumeran las versiones afectadas ni las corregidas. La referencia es el aviso de Palo Alto Networks sobre la CVE-2026-0322, entre las referencias de la ficha de NVD.
• Indicadores de compromiso: ninguno publicado en las fuentes.
• Cadena de ataque: las fuentes no la describen, por lo que no es posible asociar con certeza técnicas de MITRE ATT&CK.

La descripción oficial precisa que el riesgo se reduce mucho limitando el acceso a la interfaz de gestión solo a direcciones IP internas de confianza, según las guías de configuración recomendadas por Palo Alto Networks.

Impacto para las empresas europeas e italianas

El firewall es el punto por el que pasa el tráfico entre la red de la empresa e Internet, y a menudo también entre los segmentos internos. Un atacante con privilegios de root en el firewall, o en una consola Panorama que gestiona muchos, puede modificar políticas y configuraciones de todo el perímetro.

El requisito de autenticación limita quién puede explotar la vulnerabilidad, pero CISA confirma que la explotación ya está en curso. Las empresas con la interfaz de gestión accesible desde redes no fiables, o desde Internet, son las más expuestas: es justo la situación que la descripción indica que hay que evitar.

Para las entidades sujetas a NIS2, la vulnerabilidad entra en la gestión de vulnerabilidades con prioridades y plazos documentados; si los firewalls los gestiona un proveedor, la comprobación debe hacerse con él. Un incidente significativo debe notificarse al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN. Si un compromiso del firewall expone datos personales, debe valorarse también como violación según el RGPD, con la posible notificación a la autoridad de control en un plazo de 72 horas. En el sector sanitario, donde el firewall separa a menudo las redes clínicas de las administrativas, la comprobación debe hacerse sin esperar.

Qué hacer ya

1. Haz el inventario de los firewalls PA-Series y VM-Series y de las consolas Panorama, incluidos los gestionados por proveedores, con la versión de PAN-OS de cada uno.
2. Limita el acceso a la interfaz de gestión solo a direcciones IP internas de confianza, como indica la descripción oficial, y comprueba que no sea accesible desde Internet.
3. Aplica las instrucciones de Palo Alto Networks: sigue el aviso sobre la CVE-2026-0322 para las versiones corregidas y las posibles mitigaciones.
4. Si no puedes intervenir enseguida: como pide CISA, si no hay mitigaciones disponibles, valora retirar el dispositivo del servicio.
5. Revisa los accesos administrativos: como hace falta un usuario autenticado, comprueba qué cuentas tienen acceso a la interfaz de gestión, desde qué direcciones se han conectado y si hay accesos inesperados.
6. Busca rastros de explotación: no basta con actualizar. Revisa cambios de configuración no previstos, nuevas cuentas administrativas, procesos y conexiones salientes inusuales desde el dispositivo; usa los procedimientos de verificación de Palo Alto Networks, si los hay.
7. Si encuentras indicios de compromiso: conserva registros y pruebas para el análisis forense antes de reinstalar, y después cambia las credenciales administrativas y las claves y certificados configurados en el dispositivo.

Cómo ayuda ARXDOME

ARX Expose controla los servicios que tu empresa expone en Internet, los puertos abiertos, los productos reconocidos y sus vulnerabilidades conocidas: una forma de descubrir si una interfaz de gestión es accesible desde fuera. ARX Sentry recoge los registros de los firewalls en un colector central, de modo que accesos y cambios quedan registrados también fuera del dispositivo, y tiene páginas dedicadas a los firewalls con el estado del firmware. ARX Horizon enriquece los eventos con listas de amenazas e información sobre vulnerabilidades.

Última actualización: 14 de octubre de 2026