Palo Alto Networks reportó una vulnerabilidad crítica (CVE-2026-0300) en PAN-OS que permite la ejecución remota de código con privilegios de root. Atacantes, posiblemente vinculados a China, han explotado este fallo para infiltrarse en redes, enumerar directorios activos e instalar malware. Se recomienda restringir el acceso al portal de autenticación User-ID o desactivarlo hasta que se apliquen los parches.





Palo Alto Networks ha revelado que diversos actores de amenazas pueden haber intentado explotar sin éxito un fallo de seguridad crítico recientemente divulgado ya desde el 9 de abril de 2026.

La vulnerabilidad en cuestión es la CVE-2026-0300 (puntuación CVSS: 9.3/8.7), una vulnerabilidad de desbordamiento de búfer en el servicio del Portal de Autenticación de User-ID del software PAN-OS de Palo Alto Networks que podría permitir a un atacante no autenticado ejecutar código arbitrario con privilegios de root mediante el envío de paquetes especialmente diseñados.

Aunque se espera que las correcciones se publiquen a partir del 13 de mayo de 2026, se recomienda a los clientes asegurar el acceso al Portal de Autenticación de User-ID de PAN-OS restringiendo el acceso a zonas confiables o desactivándolo por completo si no se utiliza.


En un aviso emitido el miércoles, la empresa de seguridad de red afirmó estar al tanto de una explotación limitada del fallo. Está rastreando la actividad bajo el nombre de CL-STA-1132, un grupo de amenazas sospechoso de estar patrocinado por un estado de procedencia desconocida.

"El atacante detrás de esta actividad explotó la CVE-2026-0300 para lograr la ejecución remota de código (RCE) no autenticada en el software PAN-OS. Tras una explotación exitosa, el atacante pudo inyectar shellcode en un proceso trabajador de nginx", afirmó Unit 42 de Palo Alto Networks [enlace].

La empresa de ciberseguridad señaló que ha observado intentos de explotación fallidos contra un dispositivo PAN-OS a partir del 9 de abril de 2026, una semana después de lo cual los atacantes lograron obtener con éxito la ejecución remota de código contra el dispositivo e inyectar shellcode.

Tan pronto como se logró el acceso inicial, los actores de amenazas tomaron medidas para borrar los mensajes del núcleo de fallos, eliminar las entradas y registros de fallos de nginx, y remover los archivos de volcado de memoria (core dump) en un intento de borrar sus huellas.

Las actividades post-explotación realizadas por el adversario incluyeron la enumeración de Active Directory (AD) y la carga de payloads adicionales como EarthWorm y ReverseSocks5 contra un segundo dispositivo el 29 de abril de 2026. Ambas herramientas han sido utilizadas previamente por varios grupos de hacking vinculados a China.


"Durante los últimos cinco años, los actores de amenazas de estados-nación dedicados al ciberespionaje se han centrado cada vez más en los activos tecnológicos de red perimetral, incluyendo firewalls, routers, dispositivos IoT, hipervisores y diversas soluciones VPN, que proporcionan acceso de altos privilegios mientras que a menudo carecen de los agentes de seguridad y el registro robusto que se encuentra en los endpoints estándar", dijo Unit 42.

"La dependencia de los atacantes detrás de CL-STA-1132 en herramientas de código abierto, en lugar de malware propietario, minimizó la detección basada en firmas y facilitó una integración fluida en el entorno. Esta elección técnica, combinada con una cadencia operativa disciplinada de sesiones interactivas intermitentes durante un período de varias semanas, permaneció intencionalmente por debajo de los umbrales de comportamiento de la mayoría de los sistemas de alerta automatizados".

Fuente:
THN