PAN-OS GlobalProtect: CVE-2026-0257 explotada por Qilin e INC

Varios grupos de ransomware, entre ellos Qilin e INC, están explotando la CVE-2026-0257, una vulnerabilidad de elusión de la autenticación en los portales y gateways GlobalProtect de Palo Alto Networks PAN-OS. Según The Hacker News, el fallo afecta también a Prisma Access y tiene una puntuación CVSS de 7,8. Su explotación permite abrir una sesión VPN no autorizada eludiendo la autenticación multifactor (MFA) y usarla como punto de entrada a la red de la empresa.

Las nuevas investigaciones proceden de Unit 42, la división de consultoría y respuesta a incidentes de Palo Alto Networks, citada por The Register y The Hacker News. La vulnerabilidad está corregida desde mayo: si todavía no has actualizado, estás expuesto, y si actualizaste tarde, tienes que comprobar que no te hayan comprometido ya.

Qué ha pasado

La cronología procede de The Register:

• 13 de mayo de 2026: Palo Alto Networks publica el aviso y la corrección. En ese momento la gravedad indicada es media y el fabricante declara conocer intentos de explotación, pero no haber observado explotaciones maliciosas con éxito.
• Finales de mayo: los investigadores de Rapid7 informan de explotaciones con éxito en varios entornos de clientes, al menos desde el 17 de mayo.
• Desde principios de junio: Unit 42 investiga ataques en muchos sectores.
• 19 de octubre: Unit 42 comunica que grupos de ransomware, entre ellos Qilin e INC, siguen explotando la vulnerabilidad.

Según Unit 42, los sectores afectados son educación, servicios financieros, sanidad, alta tecnología, hostelería, fabricación, servicios profesionales y jurídicos, administración pública, transporte y logística, suministros y energía, y comercio mayorista y minorista. No se conoce el número de organizaciones afectadas: Palo Alto Networks no respondió a las preguntas de The Register.

The Register informa además de que, según los analistas de ReliaQuest, la vulnerabilidad la explotan varios grupos, entre ellos los operadores del ransomware Settra, también para obtener el acceso inicial mediante sesiones VPN no autorizadas. Este dato procede de una sola fuente.

Detalles técnicos

• CVE: CVE-2026-0257, elusión de la autenticación.
• Componente: portales y gateways GlobalProtect de PAN-OS; según The Hacker News, también Prisma Access.
• Gravedad: CVSS 7,8 según The Hacker News (alta); al principio el fabricante la había clasificado como media.
• Efecto: creación de una conexión VPN no autorizada, con el MFA eludido.
• Versiones: las fuentes disponibles no indican las versiones afectadas ni las corregidas. La referencia es el aviso de Palo Alto Networks sobre la CVE-2026-0257.

La cadena de ataque descrita por Unit 42

Andy Piazza, senior director de threat intelligence de Unit 42, describe esta secuencia:

1. Acceso inicial: explotación de la CVE-2026-0257 y sesión VPN abierta sin pasar por el MFA.
2. Movimiento lateral con RDP y SMB.
3. Otros malware para recopilar credenciales y robar datos.
4. Ransomware como fase final.

La evolución más relevante, siempre según Unit 42, es el salto directo a la capa de virtualización. En un caso, los atacantes pasaron del gateway VPN comprometido al appliance de gestión vCenter, desactivaron en los hipervisores ESXi el control execInstalledOnly (que solo permite ejecutar binarios instalados con paquetes firmados) y usaron una herramienta hecha a medida para extraer las credenciales offline del disco virtual (VMDK) de un controlador de dominio. Así se evitan los EDR instalados dentro de las máquinas virtuales y se obtienen las credenciales de todo el dominio.

Unit 42 también ha visto el exploit encadenado con otras vulnerabilidades, como la CVE-2023-27532 de Veeam Backup & Replication, que afecta a la infraestructura de copias de seguridad.

Técnicas MITRE ATT&CK

Asociación nuestra, a partir de la descripción de Unit 42 recogida por las fuentes:

• T1190 Exploit Public-Facing Application y T1133 External Remote Services (acceso por VPN);
• T1021.001 Remote Desktop Protocol y T1021.002 SMB/Windows Admin Shares;
• T1562.001 Impair Defenses: Disable or Modify Tools (execInstalledOnly en ESXi);
• T1003 OS Credential Dumping (extracción offline del VMDK);
• T1486 Data Encrypted for Impact.

Indicadores

Unit 42 ha publicado indicadores de compromiso para la búsqueda de amenazas; las fuentes de las que disponemos no los recogen.

Impacto para las empresas europeas e italianas

GlobalProtect es una VPN muy extendida también en Europa e Italia. El ataque descrito afecta a dos elementos en los que se basa la defensa de muchas empresas: el MFA en la VPN y el EDR en las máquinas. Una sesión VPN abierta con una elusión de la autenticación puede parecer un acceso legítimo; un robo de credenciales hecho sobre el disco virtual no pasa por el EDR. Las infraestructuras VMware y las copias de seguridad pasan a formar parte del perímetro que hay que vigilar.

Sanidad, energía, transporte y administración pública, todos entre los sectores afectados, están también entre los cubiertos por la NIS2. Para estas entidades, la CVE-2026-0257 debe tratarse con prioridad en la gestión de vulnerabilidades, y un posible compromiso debe evaluarse como incidente significativo que se notifica al CSIRT nacional (en Italia, el CSIRT Italia de la ACN). Si hay datos personales implicados, como casi siempre en los ataques de ransomware con robo de datos, también hay que valorar la notificación a la autoridad de protección de datos en un plazo de 72 horas según el RGPD.

Qué hacer ya

1. Haz el inventario de los firewalls PAN-OS con GlobalProtect activo y de los tenants de Prisma Access, incluidos los gestionados por proveedores.
2. Actualiza siguiendo el aviso de Palo Alto Networks sobre la CVE-2026-0257, si todavía no lo has hecho.
3. No te quedes en el parche: la explotación está documentada al menos desde el 17 de mayo. Revisa en los logs de GlobalProtect las sesiones VPN desde mayo, buscando usuarios, direcciones de origen y horarios inesperados y sesiones sin el paso de MFA previsto.
4. Usa los indicadores de Unit 42 para buscar amenazas en firewalls, endpoints y logs centralizados.
5. Protege la virtualización: comprueba que execInstalledOnly esté activo en todos los hosts ESXi, revisa accesos y cambios en vCenter y mantén la gestión de vCenter y ESXi fuera del alcance de los rangos de direcciones de la VPN.
6. Revisa las copias de seguridad: comprueba que Veeam Backup & Replication esté actualizado frente a la CVE-2023-27532 y que exista una copia de los datos no accesible desde la red principal.
7. Vigila el movimiento lateral: conexiones RDP y SMB anómalas que salen de las direcciones asignadas a la VPN.
8. Si encuentras indicios de compromiso: conserva logs y pruebas antes de intervenir y, después, restablece las credenciales del dominio, de los administradores de la virtualización y de las cuentas VPN.

Cómo ayuda ARXDOME

ARX Sentry recoge los logs de los firewalls en un colector central, así las sesiones VPN y los accesos quedan registrados también fuera del dispositivo y se pueden revisar a posteriori, y tiene páginas dedicadas a los firewalls con el estado del firmware. ARX Expose muestra los servicios que tu empresa expone en Internet, como los portales VPN, con sus vulnerabilidades conocidas. ARX Horizon enriquece los eventos con listas de amenazas e información sobre vulnerabilidades.

Última actualización: 20 de octubre de 2026