Palo Alto Networks alerta sobre una vulnerabilidad RCE en PAN-OS explotada en ataques

Palo Alto Networks ha lanzado actualizaciones de seguridad para una vulnerabilidad de día cero de alta gravedad en PAN-OS, catalogada como CVE-2026-0322, que ha sido explotada en ataques contra firewalls. La falla afecta la interfaz de gestión de PAN-OS y permite a atacantes autenticados con acceso a la red ejecutar código con privilegios de root en dispositivos vulnerables.

En un aviso de seguridad publicado el miércoles, la empresa confirmó que ha observado una explotación muy limitada de la vulnerabilidad. «Se ha observado una explotación muy limitada dirigida a la interfaz de gestión de Palo Alto Networks», afirmó la compañía. La vulnerabilidad tiene una puntuación de gravedad de 8.6 y afecta a los firewalls de las series PA y VM, así como a los dispositivos virtuales Panorama y de la serie M. Palo Alto señala que Cloud NGFW y Prisma Access no están afectados.

Para explotar la vulnerabilidad, los atacantes necesitan credenciales existentes y acceso a la red de la interfaz de gestión de PAN-OS. Por ello, Palo Alto Networks recomienda restringir el acceso a la interfaz de gestión únicamente a direcciones IP internas de confianza.

La compañía ha publicado parches para las versiones afectadas de PAN-OS 10.2, 11.1, 11.2, 12.1 y 12.2, y se espera una solución para PAN-OS 11.2.16 el 15 de octubre. Los clientes que ejecuten versiones más antiguas no compatibles deben actualizar a una versión soportada.

Palo Alto indica que no existen workarounds conocidos para la vulnerabilidad, pero los clientes con suscripciones de Threat Prevention pueden habilitar firmas que proporcionan una protección limitada contra patrones de ataque conocidos. «La cobertura limitada en Threat Prevention significa que, si bien los patrones de ataque conocidos se pueden identificar utilizando el ID de amenaza actual, pueden existir variaciones que actualmente no se pueden detectar», advierte Palo Alto. «Si este CVE y la configuración requerida para la exposición impactan su entorno, recomendamos actualizar a una versión no afectada».

La vulnerabilidad fue descubierta internamente por Suraj Siddharudh, investigador principal sénior de seguridad de productos en Palo Alto Networks. La compañía también compartió tres direcciones IP que han estado explotando la falla: 66.42.72[.]14, 208.83.239[.]114 y 149.248.47[.]234.

BleepingComputer contactó a Palo Alto Networks para conocer cuándo comenzó la explotación, quién está detrás de los ataques y si los atacantes comprometieron firewalls o los utilizaron para acceder a redes internas. La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) ha añadido CVE-2026-0322 al catálogo de vulnerabilidades explotadas conocidas y exige que las agencias federales civiles mitiguen la vulnerabilidad antes del 17 de octubre.

Construya su plan de seguridad para ataques impulsados por IA

Únase a Mikko Hyppönen y a líderes de seguridad de la NFL, CHANEL y Atlassian en una cumbre digital de dos horas sobre qué cambian los ataques a velocidad de IA, qué deben dejar de hacer los defensores y cómo validar, decidir, corregir y revalidar a velocidad de máquina.