Palo Alto Networks advirtió sobre una vulnerabilidad crítica de día cero (CVE-2026-0300) en el Portal de Autenticación User-ID de sus firewalls PA-Series y VM-Series. Este fallo de desbordamiento de búfer permite a atacantes ejecutar código con privilegios de root sin necesidad de autenticación. Mientras se desarrolla un parche, la empresa recomienda restringir el acceso del portal solo a zonas confiables o desactivarlo por completo.




Palo Alto Networks advirtió hoy a sus clientes que una vulnerabilidad sin parchear de severidad crítica en el Portal de Autenticación de User-ID de PAN-OS está siendo explotada en ataques.

También conocido como Portal Cautivo, el Portal de Autenticación de User-ID es una función de seguridad de PAN-OS [enlace] que autentica a los usuarios cuyas identidades no pueden ser mapeadas automáticamente por el firewall.

Rastreado como CVE-2026-0300, este error de día cero surge de una debilidad de desbordamiento de búfer que permite a atacantes no autenticados ejecutar código arbitrario con privilegios de root en firewalls PA-Series y VM-Series expuestos a Internet mediante paquetes especialmente diseñados.

"Se ha observado una explotación limitada dirigida a los Portales de Autenticación User-ID™ de Palo Alto Networks que están expuestos a direcciones IP no confiables y/o a la internet pública", afirmó Palo Alto Networks en un aviso del miércoles [enlace].

"Los clientes que siguen las mejores prácticas de seguridad estándar, como restringir los portales sensibles a redes internas confiables, corren un riesgo considerablemente menor".

En este momento, el observatorio de amenazas de Internet Shadowserver está rastreando más de 5,800 firewalls PAN-OS serie VM [enlace] expuestos en línea, la mayoría de ellos en Asia (2,466) y América del Norte (1,998).

Firewalls serie VM expuestos en línea (Shadowserver)

La empresa también ha calificado la vulnerabilidad con la severidad más alta posible y afirma que los administradores pueden verificar rápidamente si sus firewalls están configurados para usar el servicio vulnerable desde la página de Configuración del Portal de Autenticación de User-ID, [enlace] ubicada en Device > User Identification > Authentication Portal Settings -> Enable Authentication Portal.

Palo Alto Networks todavía está trabajando para solucionar el día cero y, hasta que haya un parche disponible, recomienda "encarecidamente" que los clientes aseguren el Portal de Autenticación de User-ID restringiendo el acceso solo a zonas confiables o desactivando el portal si esto no es posible.

Los firewalls PAN-OS han sido blanco frecuente de ataques, a menudo explotando vulnerabilidades de seguridad de día cero. Por ejemplo, en noviembre de 2024, Shadowserver reveló que miles de firewalls habían sido comprometidos (aunque la empresa dijo que los ataques afectaron solo a "un número muy pequeño") en ataques que encadenaron dos días cero de firewall PAN-OS.

Un mes después, Palo Alto Networks advirtió que los hackers estaban explotando otro fallo de DoS de PAN-OS para atacar los firewalls de las series PA, VM y CN, obligándolos a reiniciarse y desactivar las protecciones del firewall. Poco después, en febrero, los atacantes pasaron a abusar de otros tres fallos de PAN-OS para comprometer los firewalls de Palo Alto Networks con interfaces de gestión orientadas a internet.

Palo Alto Networks afirma que sus productos y servicios son utilizados por más de 70,000 clientes en todo el mundo, incluyendo el 90% de las empresas Fortune 10 y la mayoría de los bancos más grandes de EE. UU.

Fuente:
BleepingComputer