Bandas de ransomware explotan una falla de la VPN de Palo Alto corregida en mayo

Al menos tres bandas de ransomwarePrograma malicioso que cifra o bloquea los archivos de una víctima para exigirle un pago a cambio de devolverle el acceso. usan CVE-2026-0257, una falla de la VPN GlobalProtect de los firewalls de Palo Alto Networks, para entrar a redes corporativas, según actualizó el 19 de octubre Unit 42, el equipo de inteligencia de amenazas de la empresa. El parche existe desde el 13 de mayo. Cinco meses después, Unit 42 todavía observa intentos de explotación por parte de operadores de Qilin e Inc, y menciona informes públicos que atribuyen ataques a Settra, otro programa de secuestro de datos.

Qué es la falla

GlobalProtect es el servicio de PAN-OS, el sistema operativo de los firewalls de Palo Alto, que conecta a los empleados remotos con la red de la empresa. La falla permite saltar la autenticación del portal y la puerta de enlace y abrir una sesión de VPN sin credenciales válidas. No exige usuario ni interacción de la víctima y se ataca por la red.

El problema está en las cookies de "anulación de autenticación" (authentication override), que GlobalProtect usa para no pedir la contraseña en cada conexión. El equipo confía en esas cookies sin validarlas bien (CWE-565). Palo Alto la califica con un CVSS 4.0 de 7,8, severidad alta. Con esa entrada, los atacantes también esquivan la verificación en dos pasos, según Unit 42.

A quién afecta

Afecta a PAN-OS 10.2, 11.1, 11.2 y 12.1, y a Prisma Access, solo cuando GlobalProtect tiene activadas las cookies de anulación de autenticación en el portal o en la puerta de enlace y usa un certificado que no es exclusivo para esas cookies. Cloud NGFW no está afectado. Las versiones viejas sin soporte necesitan pasar a una corregida.

Estado de explotación

Explotada. Lo confirman Palo Alto Networks y el catálogo de vulnerabilidades explotadas (KEV) de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA), que la sumó el 29 de mayo y la marca como usada en campañas de ransomware. Un código de prueba se publicó ese mismo día.

El resumen original de Unit 42 decía que no se había visto actividad después del acceso. Sus actualizaciones posteriores y la investigación de Arctic Wolf, publicada en julio sobre intrusiones de junio, cuentan lo contrario. Tras entrar, los atacantes recorren la red con herramientas de administración remota, se mueven por escritorio remoto, roban credenciales y datos y despliegan el ransomware. En un caso pasaron de la VPN al servidor vCenter, que administra las máquinas virtuales, desactivaron una protección de los hipervisores ESXi y copiaron las credenciales del controlador de dominio directo desde su disco virtual, fuera del alcance del antivirus. Unit 42 vio víctimas en educación, finanzas, salud, gobierno, energía, comercio y transporte, entre otros sectores.

No es el único equipo de borde en la mira

El mismo 19 de octubre, Rapid7 describió intrusiones en Citrix NetScaler que encadenan CVE-2026-88771 y CVE-2026-88779 para ejecutar código como root, y advirtió que, en un equipo expuesto durante la campaña, parchear no alcanza. LatamByte informó sobre las fallas de NetScaler y sobre la VPN Ivanti Connect Secure, donde CVE-2026-104935 se explota encadenada con una escalada de privilegiosAprovechamiento de una falla para pasar de una cuenta con permisos limitados a otra con más control sobre un sistema, como la de administrador o root. que, según Volexity el 13 de octubre, Ivanti corregiría "en las próximas semanas".

Qué hacer

• Actualizar PAN-OS a una versión corregida: 12.1.4-h6 o 12.1.7; 11.2.4-h17, 11.2.7-h14, 11.2.10-h7 o 11.2.12; 11.1.4-h33, 11.1.6-h32, 11.1.7-h6, 11.1.10-h25, 11.1.13-h5 o 11.1.15; 10.2.7-h34, 10.2.10-h36, 10.2.13-h21, 10.2.16-h7 o 10.2.18-h6.
• Mientras tanto, usar un certificado dedicado solo a las cookies de anulación de autenticación, o desactivar esas opciones en el portal y la puerta de enlace.
• Buscar en los registros de GlobalProtect conexiones exitosas desde las direcciones IP que publicó Unit 42, con identificadores de equipo sospechosos como aa:bb:cc:dd:ee:ff, 00:11:22:33:44:55 o DESKTOP-GP01, o con sistema "Microsoft Windows 10 Pro 64-bit" y dominio de usuario vacío, los valores fijos del código de prueba.
• Tratar cualquier coincidencia como un incidente, revisar vCenter y ESXi, y parchear Veeam Backup & Replication contra CVE-2023-27532, que los atacantes encadenan para llegar a las copias de seguridad.

Ficha técnica

• CVE: CVE-2026-0257
• CVSS: 7,8 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:N)
• CWE: CWE-565, confianza en cookies sin validación ni control de integridad
• Producto: PAN-OS GlobalProtect (portal y puerta de enlace) y Prisma Access
• Aviso del fabricante: security.paloaltonetworks.com/CVE-2026-0257, 13 de mayo de 2026
• Alta en KEV: 29 de mayo de 2026, con uso conocido en ransomware