Palo Alto Networks confirmó el miércoles 14 de octubre de 2026 la explotación activa en ataques del mundo real de una vulnerabilidad crítica de ejecución remota de código (RCE) en el sistema operativo PAN-OS, rastreada como CVE-2026-0322. La falla reside en la interfaz de gestión de la plataforma de firewalls y permite a un atacante con credenciales válidas y acceso a la red ejecutar código arbitrario con privilegios de root en el dispositivo objetivo. Palo Alto Networks clasificó el problema con una puntuación de severidad de 8.6 y una designación de urgencia máxima, enfatizando que la explotación requiere autenticación preexistente, pero no se necesita configuración especial más allá de la conectividad de red estándar a la interfaz de gestión.
La vulnerabilidad afecta directamente a las líneas de hardware PA-Series y VM-Series, así como a los appliances virtuales y de serie M de Panorama. Los dispositivos que ejecutan Cloud NGFW y Prisma Access están excluidos del ámbito de productos afectados. La falla fue descubierta internamente por la investigadora Suraj Siddharudh, investigadora principal senior de seguridad de productos de Palo Alto Networks, en lugar de a través de un canal de divulgación externa. El rango de versiones impactadas abarca un amplio espectro de lanzamientos: PAN-OS 12.2 hasta (excluyendo) 12.2.3, 12.1 hasta (excluyendo) 12.1.4-h12, 12.1.7 hasta (excluyendo) 12.1.7-h8, 12.1.10 hasta (excluyendo) 12.1.10-h2, 11.2.4 hasta (excluyendo) 11.2.4-h22, 11.2.7 hasta (excluyendo) 11.2.7-h21, 11.2.10 hasta (excluyendo) 11.2.10-h15, 11.2.13 hasta (excluyendo) 11.2.13-h3, 11.2.0 hasta (excluyendo) 11.2.16, 11.1.4 hasta (excluyendo) 11.1.4-h37, 11.1.6 hasta (excluyendo) 11.1.6-h39, 11.1.7 hasta (excluyendo) 11.1.7-h11, 11.1.10 hasta (excluyendo) 11.1.10-h35, 11.1.13 hasta (excluyendo) 11.1.13-h15, 11.1.16 hasta (excluyendo) 11.1.16-h3, 10.2.7 hasta (excluyendo) 10.2.7-h38, 10.2.10 hasta (excluyendo) 10.2.10-h41, 10.2.13 hasta (excluyendo) 10.2.13-h26, 10.2.16 hasta (excluyendo) 10.2.16-h11 y 10.2.18 hasta (excluyendo) 10.2.18-h12.
Palo Alto Networks ya ha publicado parches para las ramas 10.2, 11.1, 11.2, 12.1 y 12.2, con una corrección definitiva para la rama 11.2.16 programada para publicación el 15 de octubre. La empresa también reveló tres direcciones IP vinculadas a actividades de explotación observadas: 66.42.72.14, 208.83.239.114 y 149.248.47.234. Además, las firmas de prevención de amenazas con los identificadores 510046 y 510047 proporcionan protección limitada cuando se activan, aunque requieren que la desifificación SSL esté correctamente configurada en el dispositivo.
La Agencia de Seguridad Cibernética e Infraestructura de Estados Unidos (CISA) agregó la CVE-2026-0322 a su catálogo de Vulnerabilidades Conocidas y Explotadas (KEV), ordenando que las agencias federales civiles implementen medidas de mitigación para el 17 de octubre. Palo Alto Networks declaró explícitamente que no existen workarounds confiables, y que la única mitigación efectiva consiste en restringir el acceso a la interfaz de gestión exclusivamente a direcciones IP internas de confianza, según las directrices de implementación segura de la compañía. La empresa publicó simultáneamente una docena de avisos de seguridad adicionales cubriendo fallos de inyección de comandos, negación de servicio, escalada local de privilegios, secuestro de identidad, scripting inter-sitios y traversal de rutas, todos calificados como severidad media o baja.
Qué observar: las organizaciones que operan firewalls Palo Alto deben priorizar la implementación inmediata de parches, especialmente en entornos donde las credenciales de administrador están expuestas en la red. Monitorear las tres direcciones IP maliciosas reveladas en sistemas de detección de intrusiones y analizar los registros de la interfaz de gestión para detectar patrones de solicitud anómalos permanecen como acciones críticas. La administración del conjunto completo de appliances Panorama, incluyendo instancias virtuales y unidades de hardware, garantiza que todos los despliegues afectados reciban la remediación apropiada.
Fuentes: BleepingComputer, SecurityWeek, Palo Alto Networks
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
