Palo Alto Networks advirtió sobre una vulnerabilidad crítica de día cero (CVE-2026-0300) en sus firewalls PAN-OS, la cual está siendo explotada por hackers presuntamente respaldados por Estados. El fallo permite a atacantes ejecutar código remoto con privilegios de root, facilitando el despliegue de herramientas de tunelización para evadir la seguridad de las redes. La empresa recomienda restringir o desactivar el Portal de Autenticación de User-ID mientras se lanzan los parches oficiales.



Palo Alto Networks advirtió a sus clientes que sospechosos hackers patrocinados por el estado han estado explotando una vulnerabilidad de día cero de gravedad crítica en PAN-OS firewall durante casi un mes.

Identificada como CVE-2026-0300, este fallo de seguridad de ejecución remota de código se encontró en el Portal de Autenticación de User-ID de PAN-OS (también conocido como Captive Portal) y se deriva de una vulnerabilidad de desbordamiento de búfer que permite a atacantes no autenticados ejecutar código arbitrario con privilegios de root en firewalls PA-Series y VM-Series expuestos a Internet.

"Somos conscientes de una explotación limitada de CVE-2026-0300 en este momento. Unit 42 está rastreando CL-STA-1132, un grupo de actividad de amenazas probablemente patrocinadas por el estado que explota CVE-2026-0300. El atacante detrás de esta actividad explotó CVE-2026-0300 para lograr la ejecución remota de código (RCE) no autenticada en el software PAN-OS", afirmó la empresa [enlace].

"A partir del 9 de abril de 2026, hubo intentos de explotación fallidos contra un dispositivo PAN-OS. Una semana después, los atacantes lograron con éxito la RCE contra el dispositivo e inyectaron shellcode. Tras el compromiso, los atacantes realizaron inmediatamente una limpieza de registros para mitigar la detección, borrando mensajes del kernel de choque, eliminando entradas y registros de choque de nginx, así como eliminando archivos de volcado de núcleo de choque".

Tras comprometer los firewalls de las víctimas, los atacantes desplegaron las herramientas de tunelización de red de código abierto Earthworm y ReverseSocks5, que pueden utilizarse para crear servidores SOCKS v5 y túneles proxy en los dispositivos comprometidos, respectivamente.

La herramienta EarthWorm permite a los actores de amenazas establecer comunicaciones encubiertas a través de redes restringidas, mientras que ReverseSocks5 les permite evadir NAT y firewalls creando una conexión saliente desde una máquina objetivo hacia un controlador. EarthWorm ha sido utilizado anteriormente en ataques vinculados a los grupos de amenazas de habla china CL-STA-0046, Volt Typhoon, UAT-8337 y APT41.

El observatorio de amenazas de Internet Shadowserver rastrea ahora más de 5,400 firewalls PAN-OS VM-series expuestos en Internet, la mayoría de ellos en Asia (2,466) y América del Norte (1,998).