Palo Alto PAN-OS: explotan la CVE-2026-0322 para obtener acceso root

Palo Alto Networks reveló el 14 de octubre de 2026 la CVE-2026-0322, un fallo en el software de cortafuegos PAN-OS que los atacantes ya están usando. Permite a un atacante que pueda iniciar sesión en la interfaz de gestión del cortafuegos ejecutar cualquier código como root, la cuenta de administrador con poder total sobre el dispositivo. La Cybersecurity and Infrastructure Security Agency (CISA) de EE. UU. dio a las agencias federales hasta el 17 de octubre para corregirlo, y todo equipo que use estos cortafuegos debería comprobar hoy su versión.

PAN-OS es el sistema operativo de los cortafuegos de Palo Alto, los dispositivos de red que protegen el perímetro de muchas redes corporativas. La interfaz de gestión es la página web y el servicio que usan los administradores para configurarlos.

Qué hace el fallo

El error es un fallo de inyección de código, dice el aviso de Palo Alto. La inyección de código significa que un atacante cuela sus propios comandos en una entrada que el software ejecuta después. «Permite a un atacante autenticado con acceso a la red ejecutar código arbitrario con privilegios de root en el cortafuegos», dice el aviso.

Tiene una puntuación de 8,6 sobre 10 en CVSS 4.0, la escala de gravedad habitual, lo que se considera alta. El atacante necesita un inicio de sesión válido, así que no es una puerta abierta para cualquiera en internet. BleepingComputer dice que los atacantes necesitan credenciales existentes y acceso de red a la interfaz de gestión. El fabricante añade que «no se requiere ninguna configuración especial para verse afectado por este problema».

«Se ha observado una explotación muy limitada dirigida a la interfaz de gestión de Palo Alto Networks», dice el aviso. Palo Alto compartió tres direcciones IP vinculadas a los ataques, informa BleepingComputer. Nadie ha nombrado a los atacantes, ni ha dicho cuándo empezaron los ataques ni a cuántos clientes afectaron.

Qué productos están afectados

Están afectados los cortafuegos PA-Series y VM-Series, además de los dispositivos Panorama virtuales y M-Series. Panorama es la herramienta que gestiona muchos cortafuegos a la vez. Cloud NGFW y Prisma Access, los servicios en la nube de Palo Alto, no están afectados.

El aviso enumera estas versiones corregidas. Cada rama también tiene opciones de hotfix más antiguas, que figuran en la página del aviso.

Rama de PAN-OS	Actualizar a	Opciones de hotfix más antiguas
12.2	12.2.4 o posterior	ninguna indicada
12.1	12.1.10-h2	12.1.7-h8, 12.1.4-h12
11.2	11.2.16	11.2.13-h3, 11.2.10-h15, 11.2.7-h21, 11.2.4-h22
11.1	11.1.16-h3	11.1.13-h15, 11.1.10-h35, 11.1.7-h11, 11.1.6-h39, 11.1.4-h37
10.2	10.2.18-h12	10.2.16-h11, 10.2.13-h26, 10.2.10-h41, 10.2.7-h38

La versión 11.2.16 se publicó el 15 de octubre. Las versiones antiguas sin soporte deben pasar a una versión corregida con soporte, dice el fabricante.

Sin solución alternativa, solo refuerzo

«No existen soluciones alternativas conocidas para este problema», afirma el aviso. Las firmas de Threat Prevention con los Threat ID 510046 y 510047 dan una cobertura limitada, y solo cuando el descifrado SSL está activado. El aviso también sugiere estos pasos:

• Permitir el acceso de gestión solo desde direcciones IP internas de confianza, o desde un único jump box. Un jump box es una máquina reforzada que es el único sistema autorizado a llegar a la interfaz.
• Dirigir el tráfico de gestión a través de un puerto de datos, con un perfil de gestión en esa interfaz.
• Descifrar el tráfico entrante a la interfaz de gestión y activar la prevención de amenazas para él.

«El riesgo es máximo cuando se permite el acceso a la interfaz de gestión desde direcciones IP externas en internet», dice el aviso.

El plazo de la CISA

La CISA añadió el fallo a su catálogo Known Exploited Vulnerabilities el 14 de octubre, informa CSO Online. El catálogo recoge los fallos que se sabe que los atacantes están usando. Fijó el plazo del 17 de octubre en virtud de la Binding Operational Directive 26-04 y marcó el fallo para triaje forense, una comprobación en busca de señales de una intrusión pasada.

El fallo lo encontró dentro de Palo Alto Suraj Siddharudh, investigador sénior principal de seguridad de productos. Palo Alto también publicó esa semana alrededor de una docena de avisos más, todos de gravedad media o baja, informa SecurityWeek. Los dispositivos de perímetro siguen en el punto de mira: Tech AI Wire informó el 15 de octubre de una cadena de día cero en Ivanti Connect Secure.

Qué significa esto para los desarrolladores

• Compara tu versión con la tabla. Comprueba la versión de PAN-OS en cada cortafuegos y equipo Panorama. Todo lo que esté por debajo de la versión indicada para su rama necesita la actualización.
• Saca la interfaz de gestión de internet. El fabricante vincula el mayor riesgo al acceso desde internet. Si tu interfaz es accesible desde fuera, cierra eso primero.
• Trata los inicios de sesión de administrador como el verdadero objetivo. El atacante necesita credenciales. Revisa quién tiene cuentas de gestión, cambia sus contraseñas y exige un segundo factor donde puedas.
• Busca una intrusión pasada, no solo el parche. La CISA marcó este fallo para triaje forense. Parchear frena los ataques nuevos, pero no expulsa a un intruso que ya entró. Revisa los registros en busca de inicios de sesión desde las tres direcciones IP indicadas por Palo Alto.
• No te apoyes solo en las firmas. Los Threat ID 510046 y 510047 solo ayudan con el descifrado SSL activado. Son una solución temporal hasta completar la actualización.