Palo Alto Networks advirtió sobre la explotación activa de la vulnerabilidad CVE-2026-0257 en PAN-OS y Prisma Access. Este fallo de omisión de autenticación permite a atacantes establecer conexiones VPN no autorizadas y acceder a redes internas. Se recomienda aplicar los parches urgentes o deshabilitar la función de anulación de autenticación como mitigación temporal.





Palo Alto Networks ha advertido que un fallo de seguridad de severidad media recientemente revelado que afecta a PAN-OS y Prisma Access está siendo explotado activamente en el entorno real.

La vulnerabilidad, identificada como CVE-2026-0257 (puntuación CVSS: 7.8), se refiere a un caso de omisión de autenticación que podría ser aprovechado por actores malintencionados para establecer conexiones VPN.

"Las vulnerabilidades de omisión de autenticación en el portal y la puerta de enlace GlobalProtect del software PAN-OS® de Palo Alto Networks permiten al atacante eludir las restricciones de seguridad y establecer una conexión VPN no autorizada", afirmó Palo Alto Networks en un aviso publicado el 13 de mayo de 2026.

El problema afecta específicamente a los firewalls con el portal o la puerta de enlace GlobalProtect configurados cuando las cookies de anulación de autenticación están habilitadas y existe una configuración de certificado específica, señaló la empresa de seguridad de redes.

En una actualización de su aviso el 29 de mayo de 2026, Palo Alto Networks dijo que tiene "conocimiento de intentos de explotación limitados en dispositivos PAN-OS sin parchear y sin mitigaciones aplicadas.

El desarrollo se produce después de que Rapid7 revelara que identificó explotaciones exitosas en numerosos clientes, con los primeros esfuerzos datando del 17 de mayo de 2026, seguidos de una segunda ola el 21 de mayo. Se evalúa que ambos conjuntos de explotación son obra del mismo actor de amenazas.

La actividad observada en la segunda ola implicó la asignación de IP de VPN tras la autenticación de cookies en dos casos, concediendo al atacante el acceso a la red interna. El proveedor de ciberseguridad añadió que no hubo actividad posterior en los entornos de los clientes donde se estableció una sesión VPN.

"Una omisión de autenticación en un dispositivo VPN empresarial orientado al exterior puede tener un impacto significativo para las organizaciones afectadas", afirmó Rapid7. "Por ello, se insta a las organizaciones que utilicen los dispositivos afectados a que actualicen al parche suministrado por el proveedor de forma urgente".

Como mitigaciones temporales, se te recomienda deshabilitar la función de anulación de autenticación o generar un nuevo certificado para usar exclusivamente para dicha función.

La explotación de CVE-2026-0257 sigue a un informe de Arctic Wolf sobre la continua instrumentalización de un fallo de seguridad crítico, ya parcheado, que afecta a los despliegues de FortiClient Endpoint Management Server (EMS) (CVE-2026-35616, puntuación CVSS: 9.1) para distribuir un malware de robo de credenciales llamado EKZ Infostealer.

Fuente:
THN