Zero-day PAN-OS CVE-2026-0322: versiones corregidas e IoC

La CVE-2026-0322 de Palo Alto Networks PAN-OS, la inyección de código en la interfaz de gestión que permite a un usuario autenticado ejecutar código como root, entró en el catálogo KEV de la CISA el 14 de octubre de 2026. En los días siguientes llegaron los detalles que faltaban: el aviso de Palo Alto Networks con las versiones corregidas de cada rama, las direcciones IP asociadas a los ataques, las firmas de Threat Prevention y la evaluación completa del NIST. Las versiones están confirmadas por los avisos del Canadian Centre for Cyber Security, de la KISA coreana y de la CSA de Singapur.

Qué dice el aviso de Palo Alto Networks

Según el aviso del fabricante, citado por BleepingComputer, SecurityWeek y CSO Online, se ha observado una explotación «muy limitada» dirigida a la interfaz de gestión. La vulnerabilidad la descubrió internamente Palo Alto Networks y, como indican SecurityWeek y CSO Online, no hace falta ninguna configuración especial para estar expuesto: basta con que la interfaz de gestión sea accesible para alguien con credenciales válidas.

El fabricante afirma que no existen soluciones provisionales (workarounds). El riesgo es mayor cuando la interfaz de gestión acepta conexiones desde direcciones IP públicas de Internet; la recomendación sigue siendo limitarla solo a direcciones internas de confianza.

Las fuentes no dicen cuándo empezó la explotación, quién está detrás, cuántos clientes se han visto afectados ni cómo obtuvieron las credenciales los atacantes. BleepingComputer y CSO Online pidieron aclaraciones a Palo Alto Networks sin recibir respuesta en el momento de la publicación.

Versiones corregidas

Las versiones que corrigen la vulnerabilidad, según los avisos de la KISA y de la CSA de Singapur (en parte las mismas en el aviso canadiense):

• PAN-OS 12.2: 12.2.4
• PAN-OS 12.1: 12.1.4-h12, 12.1.7-h8, 12.1.10-h2
• PAN-OS 11.2: 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3, 11.2.16
• PAN-OS 11.1: 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15, 11.1.16-h3
• PAN-OS 10.2: 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11, 10.2.18-h12

Cada hotfix vale para su línea de mantenimiento: elige la que corresponde a la versión instalada. Según BleepingComputer y CSO Online, la 11.2.16 estaba prevista para el 15 de octubre y es la ruta de actualización para quien usa la 11.2.14 o la 11.2.15; de hecho no aparece en la primera versión del aviso canadiense, mientras que sí está en los avisos de KISA y CSA del 16 de octubre. Si usas versiones sin soporte, debes pasar a una versión con soporte y corregida. Los productos afectados siguen siendo los firewalls PA-Series y VM-Series y Panorama (virtual y M-Series); Cloud NGFW y Prisma Access no están afectados.

Indicadores y detección

BleepingComputer recoge las tres direcciones IP que Palo Alto Networks asocia a la explotación; SecurityWeek confirma que los indicadores publicados son algunas direcciones IP:

• 66.42.72[.]14
• 208.83.239[.]114
• 149.248.47[.]234

Si tienes una suscripción a Threat Prevention, puedes activar los Threat ID 510046 y 510047. Según CSO Online, que cita las FAQ del aviso, la cobertura es limitada y requiere el descifrado SSL del tráfico hacia la interfaz de gestión; puede haber variantes del ataque que las firmas no reconozcan. Por eso Palo Alto Networks recomienda actualizar de todos modos.

Evaluación del NIST y catálogo KEV

La ficha NVD ha pasado al estado «Analyzed». A la puntuación CVSS 4.0 de 8.6 asignada por Palo Alto se suma la del NIST: CVSS 3.1 7.2 (alta), vector AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H. En ambas evaluaciones pesa el requisito de privilegios elevados (PR:H). Entre las configuraciones afectadas, el NIST incluye también las versiones anteriores a la 10.2.

El plazo fijado por la CISA para las agencias federales estadounidenses (17 de octubre) ya ha vencido. Como subraya CSO Online, la ficha KEV exige también el triaje forense previsto por la directiva BOD 26-04: comprobar si el sistema fue comprometido antes de aplicar el parche.

Cadena de ataque

Las fuentes no describen la cadena de ataque. El requisito de credenciales válidas y de acceso de red a la interfaz lleva a considerar en particular T1078 (Valid Accounts) para el acceso inicial al panel. Un analista de IDC citado por CSO Online considera probable que el punto de entrada sea la mala gestión de los accesos administrativos, más que la vulnerabilidad en sí: credenciales robadas con phishing o reutilizadas, interfaces expuestas en Internet, compromisos anteriores. Es una hipótesis, no un hecho comprobado.

Impacto para las empresas europeas e italianas

El cuadro de nuestro artículo anterior no cambia: el firewall controla el perímetro, y quien obtiene root en un firewall o en Panorama puede modificar sus políticas y su configuración para seguir dentro incluso después de la actualización. Para las entidades NIS2, la actualización debe registrarse con prioridad y plazos documentados, también cuando los firewalls los gestiona un proveedor; un posible incidente significativo debe notificarse al CSIRT nacional (en Italia, el CSIRT Italia de la ACN), y un compromiso que exponga datos personales debe evaluarse también conforme al RGPD.

Qué hacer ya

1. Compara la versión de cada firewall y de cada Panorama con la lista de versiones corregidas y actualiza al hotfix de tu línea de mantenimiento.
2. Limita la interfaz de gestión solo a direcciones IP internas de confianza, sobre todo en los dispositivos que no puedes actualizar de inmediato.
3. Activa los Threat ID 510046 y 510047, si tienes Threat Prevention, sabiendo que requieren descifrado SSL y ofrecen una cobertura parcial.
4. Busca las tres direcciones IP en los registros del firewall, de Panorama y de los sistemas de recogida centralizada, desde antes del 14 de octubre.
5. Revisa los accesos administrativos: cuentas, origen de las conexiones, accesos en horarios inusuales; cambia las credenciales y activa la autenticación multifactor donde esté disponible.
6. Controla la configuración de Panorama y de cada firewall gestionado: cambios inesperados en políticas, cuentas y reglas de acceso. Conserva registros y pruebas antes de intervenir, como exige el triaje forense.

Cómo ayuda ARXDOME

Con ARX Horizon puedes buscar desde el portal las direcciones IP indicadas por Palo Alto Networks y comprobar su reputación; ARX Sentry recoge los registros de los firewalls en un colector central, de modo que los accesos a la interfaz de gestión quedan registrados también fuera del dispositivo. ARX Expose muestra los puertos abiertos y los productos reconocidos en los servicios que expones en Internet: te ayuda a saber si una interfaz de gestión es accesible desde fuera.

Última actualización: 16 de octubre de 2026