CISA incluye en su catálogo KEV el fallo de PAN-OS que permite ejecutar código como root en cortafuegos de Palo Alto Networks

Qué ha pasado

Es la continuación de la noticia publicada hoy sobre CVE-2026-0322, la vulnerabilidad de la interfaz de gestión de PAN-OS (CVSS 8.6) que permite a un atacante autenticado ejecutar código con privilegios de root en el cortafuegos. La novedad es que la Agencia de Ciberseguridad de Estados Unidos (CISA) la ha incorporado el 14 de octubre de 2026 a su catálogo KEV, que solo recoge fallos con explotación activa confirmada.

CISA ha fijado el 17 de octubre de 2026 como plazo para que las agencias federales estadounidenses la corrijan, un margen de apenas tres días que refleja la urgencia. Por ahora no consta si se ha utilizado en campañas de ransomware. Los datos proceden del aviso del fabricante; NVD todavía no ha publicado la ficha de esta CVE.

Estado de la explotación

Según el aviso de Palo Alto Networks, se ha observado una explotación muy limitada dirigida contra la interfaz de gestión. El fabricante clasifica la urgencia como máxima y recuerda que el riesgo es mayor cuando esa interfaz es accesible desde direcciones IP de Internet.

Para explotar el fallo el atacante necesita credenciales con privilegios elevados, lo que limita el número de posibles atacantes, pero no reduce el impacto: quien lo consiga obtiene el control total del equipo.

A quién afecta

Están afectados PAN-OS en cortafuegos PA-Series y VM-Series y Panorama (virtual y M-Series) en las ramas 12.2, 12.1, 11.2, 11.1 y 10.2 sin parchear, así como las versiones antiguas sin soporte. Cloud NGFW y Prisma Access no están afectados. No se requiere ninguna configuración especial para estar expuesto.

Qué hacer

Palo Alto Networks no ofrece soluciones alternativas: la única corrección completa es actualizar. Estas son las versiones corregidas mínimas por rama, según el aviso del fabricante:

• PAN-OS 12.2: 12.2.4 o posterior.
• PAN-OS 12.1: 12.1.4-h12, 12.1.7-h8 o 12.1.10-h2 (o posterior).
• PAN-OS 11.2: 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 u 11.2.16 (esta última prevista para el 15 de octubre).
• PAN-OS 11.1: 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 u 11.1.16-h3.
• PAN-OS 10.2: 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 o 10.2.18-h12.
• Versiones sin soporte: migrar a una versión soportada y corregida.
• Mientras se actualiza, restringir el acceso a la interfaz de gestión a direcciones IP internas de confianza o a un único servidor de salto, y comprobar que no está expuesta a Internet.
• Clientes con Threat Prevention: activar las firmas Threat ID 510046 y 510047 (contenido 9159-10287 o posterior). Su cobertura es limitada y exige enrutar el tráfico de gestión por un puerto de datos y descifrar el tráfico SSL entrante.
• Revisar los registros de acceso administrativo en busca de actividad anómala, dado que hay explotación confirmada.

Fuentes

• Palo Alto Networks security advisory CVE-2026-0322

Tecnologías afectadas

Vulnerabilidades (1)