Palo Alto corrige una falla de PAN-OS que da control root y ya se explota

Palo Alto Networks publicó el 14 de octubre el aviso de CVE-2026-0322, una falla en la interfaz de administración de PAN-OS, el sistema operativo de sus firewalls. Un atacante con credenciales y acceso de red a esa interfaz puede ejecutar código con permisos de root, el nivel máximo, sobre el equipo. La empresa informó que observó una explotación "muy limitada" contra interfaces de administración, y la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) sumó la falla ese mismo día a su catálogo de vulnerabilidades explotadas (KEV).

Qué es la falla

Es una inyección de código (CWE-94): el equipo no controla bien lo que recibe y termina ejecutando instrucciones que el atacante le manda. Exige autenticación, pero no hace falta ninguna configuración especial para quedar expuesto. Palo Alto la califica con CVSS 4.0 de 8,6 (alta) y urgencia "la más alta". Según la empresa, el riesgo es mayor cuando la administración está abierta a direcciones externas de internet.

A quién afecta

Afecta a PAN-OS en firewalls PA-Series y VM-Series y en Panorama, la consola de gestión centralizada, tanto virtual como en equipo M-Series. No están afectados Cloud NGFW ni Prisma Access. Las ramas afectadas son 10.2, 11.1, 11.2, 12.1 y 12.2, y las versiones más antiguas sin soporte también requieren pasar a una corregida.

Estado de explotación

Explotada, según Palo Alto Networks y el catálogo KEV de CISA. La empresa dijo que descubrió la falla internamente y publicó tres direcciones IP asociadas a los intentos: 66[.]42[.]72[.]14, 208[.]83[.]239[.]114 y 149[.]248[.]47[.]234. CISA no informa si hay uso en campañas de secuestro de datos (ransomwarePrograma malicioso que cifra o bloquea los archivos de una víctima para exigirle un pago a cambio de devolverle el acceso.).

Qué hacer

• Actualizar a una versión corregida: 12.2.4; 12.1.10-h2 (o 12.1.7-h8 y 12.1.4-h12 en esas líneas); 11.2.16 (prevista para el 15 de octubre) o, mientras tanto, 11.2.13-h3, 11.2.10-h15, 11.2.7-h21 o 11.2.4-h22; 11.1.16-h3 y sus equivalentes 11.1.13-h15, 11.1.10-h35, 11.1.7-h11, 11.1.6-h39 y 11.1.4-h37; 10.2.18-h12 y equivalentes 10.2.16-h11, 10.2.13-h26, 10.2.10-h41 y 10.2.7-h38.
• No hay soluciones alternativas conocidas.
• Cerrar el acceso a la administración desde internet y dejarlo solo a direcciones internas de confianza, o detrás de un único equipo intermedio (jump box), como recomienda la empresa.
• Los clientes con la suscripción Threat Prevention tienen cobertura limitada con las firmas 510046 y 510047, desde la versión de contenido 9159-10287. Exige pasar el tráfico de administración por una interfaz de datos y descifrarlo, y la propia empresa recomienda actualizar igual.
• CISA fijó el 17 de octubre como plazo para que las agencias federales de Estados Unidos apliquen las medidas, y pide además cumplir sus requisitos de análisis forense.

Otras dos fallas, el mismo día

El 14 de octubre CISA agregó también dos fallas de Ahsay AhsayCBS, un software de gestión de copias de seguridad que usan proveedores de servicios. CVE-2026-105134 es una inyección de comandos en el componente de recepción de réplicas que permite ejecutar comandos del sistema de forma remota; CVE-2026-105133 es una falla de autenticación en la APISigla en inglés de interfaz de programación de aplicaciones: conjunto de reglas que permite que un programa le pida datos o funciones a otro de manera estandarizada. que permite saltarla. Según CISA, se pueden encadenar. La base de vulnerabilidades del gobierno estadounidense (NVD) registra para la primera un CVSS 4.0 de 9,3 y para la segunda de 5,5, con exploitsPrograma, fragmento de código o técnica que aprovecha una vulnerabilidad de un sistema para lograr un efecto no previsto, como tomar el control o acceder a datos. públicos.

Ahsay informó el 12 de octubre que sus parches anteriores (v9.15.2.59 y v10.3.4.0) no corrigieron del todo ambas fallas. Los socios deben aplicar el parche v10.3.4.45 en la rama 10 o el v9.15.2.70 en las ramas 7, 8 y 9, descargables desde el portal de socios, y reiniciar el servidor.

Ficha técnica

• CVE: CVE-2026-0322
• CVSS: 8,6 (CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)
• CWE: CWE-94, inyección de código
• Producto: PAN-OS en PA-Series, VM-Series y Panorama
• Aviso del fabricante: security.paloaltonetworks.com/CVE-2026-0322, 14 de octubre de 2026
• Alta en KEV: 14 de octubre de 2026, plazo del 17 de octubre