Palo Alto insta a sus clientes a corregir una vulnerabilidad en PAN-OS (CVE-2026-0257) que permite saltarse la autenticación de GlobalProtect y acceder a redes VPN sin credenciales. Aunque inicialmente se calificó como de severidad media, Rapid7 confirmó que ya existen ataques exitosos mediante la falsificación de cookies. Debido a esto, la falla fue incluida en el catálogo de CISA y se urge a las organizaciones a aplicar los parches disponibles inmediatamente.

Se ha informado a los clientes de Palo Alto que deben parchear otra falla de seguridad expuesta a internet después de que investigadores detectaran que atacantes eludían la autenticación de GlobalProtect y obtenían acceso no autorizado a la VPN.

La falla, identificada como CVE-2026-0257, afecta a los despliegues de PAN-OS que utilizan cookies de anulación de autenticación de GlobalProtect bajo configuraciones específicas.

Palo Alto reveló el error el 13 de mayo y inicialmente le asignó una calificación de severidad media, afirmando que tenía conocimiento de intentos de explotación pero que no había observado ninguna explotación maliciosa.

Esa evaluación no ha envejecido bien.

Análisis de la vulnerabilidad

Expertos en seguridad de Rapid7 afirmaron haber observado una explotación exitosa en múltiples entornos de clientes desde al menos el 17 de mayo, y validaron la técnica de ataque mediante sus propias pruebas de concepto. Añadieron que los atacantes establecieron sesiones de VPN no autorizadas en sistemas vulnerables, concediendo potencialmente acceso a redes corporativas internas sin credenciales legítimas.

El análisis de Rapid7 sugiere que la falla radica en cómo PAN-OS confía en las cookies de anulación de autenticación. En ciertos despliegues, los hackers pueden crear sus propias cookies y lograr que el firewall las acepte como legítimas. El riesgo es mayor donde se utiliza el mismo certificado tanto para los servicios HTTPS como para las cookies de anulación, proporcionando a los atacantes la información necesaria para generar falsificaciones convincentes.

Rapid7 señaló que observó múltiples oleadas de actividad dirigidas a dispositivos vulnerables. En algunos casos, los cibercriminales obtuvieron con éxito direcciones IP de VPN y acceso a la red, pero la empresa afirmó que no observó evidencia de movimiento lateral exitoso tras el acceso inicial en los incidentes investigados.

La falla ha ingresado ahora al catálogo de Vulnerabilidades Explotadas Conocidas de la CISA, y se ha dado a las agencias federales hasta el 1 de junio para parchear o asegurar los sistemas afectados. Palo Alto también ha revisado su aviso, elevando la calificación de severidad y adjuntando su etiqueta de urgencia más alta. Las correcciones están disponibles para las versiones compatibles.

"Palo Alto Networks tiene conocimiento de intentos de explotación limitados en dispositivos PAN-OS no parcheados y sin mitigaciones aplicadas", afirmó la empresa en una actualización.

El último dolor de cabeza de PAN-OS llega menos de un mes después de otra emergencia de Palo Alto. En mayo, se descubrió que atacantes respaldados por estados explotaban la CVE-2026-0300, una falla crítica de ejecución remota de código en el Portal de Autenticación de User-ID de PAN-OS, antes de que los parches estuvieran ampliamente disponibles.

Las organizaciones que ejecutan puertas de enlace GlobalProtect vulnerables se enfrentan ahora a una elección familiar: parchear rápidamente o descubrir si alguien más llega primero.

Fuente:
TheRegister