Palo Alto Networks corrige un fallo de PAN-OS ya explotado que permite ejecutar código como root en el cortafuegos

Qué ha pasado

Palo Alto Networks ha publicado hoy, 14 de octubre de 2026, un aviso sobre CVE-2026-0322, un fallo de inyección de código en la interfaz de gestión de PAN-OS. Un atacante con acceso de red a esa interfaz y credenciales de administrador puede ejecutar código arbitrario con privilegios de root en el cortafuegos, es decir, tomar el control completo del equipo.

El fabricante le asigna una puntuación CVSS 8.6 (gravedad alta), pero califica la urgencia como «máxima». El fallo lo descubrió el propio equipo interno de Palo Alto Networks. Los datos proceden del aviso del fabricante; NVD todavía no ha publicado la vulnerabilidad.

Estado de la explotación

Según el aviso de Palo Alto Networks, se ha observado una explotación «muy limitada» dirigida contra la interfaz de gestión. La vulnerabilidad no figura por ahora en el catálogo KEV de CISA y no se conoce ningún exploit público, pero la confirmación del propio fabricante basta para tratarla como prioritaria.

El riesgo es mayor cuando la interfaz de gestión es accesible desde direcciones IP de Internet. Aunque el atacante necesita privilegios elevados, el impacto si lo consigue es total sobre la confidencialidad, la integridad y la disponibilidad del dispositivo.

A quién afecta

Afecta a PAN-OS en cortafuegos PA-Series y VM-Series y en Panorama (virtual y M-Series), sin necesidad de ninguna configuración especial. Cloud NGFW y Prisma Access no están afectados. Las ramas vulnerables son PAN-OS 12.2, 12.1, 11.2, 11.1 y 10.2 anteriores a las versiones corregidas; las versiones antiguas sin soporte deben actualizarse a una versión soportada y corregida.

Qué hacer

Actualice lo antes posible a una versión corregida de su rama. Estas son las versiones mínimas que indica el fabricante:

• PAN-OS 12.2: 12.2.4 o posterior.
• PAN-OS 12.1: 12.1.4-h12, 12.1.7-h8 o 12.1.10-h2 o posterior.
• PAN-OS 11.2: 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 o 11.2.16 (prevista para el 15 de octubre).
• PAN-OS 11.1: 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 o 11.1.16-h3.
• PAN-OS 10.2: 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 o 10.2.18-h12.
• Compruebe ya que la interfaz de gestión no es accesible desde Internet y limítela a IP internas de confianza o a un único equipo de salto (jump box).
• Revise las cuentas con acceso administrativo y su actividad reciente.
• Si dispone de Threat Prevention, active los Threat ID 510046 y 510047 (contenido 9159-10287 o posterior); su cobertura es limitada y exige enrutar el tráfico de gestión por un puerto de datos y descifrarlo con SSL. No sustituyen al parche: no existen soluciones alternativas.

Fuentes

• Palo Alto Networks advisory CVE-2026-0322

Tecnologías afectadas

Vulnerabilidades (1)