Palo Alto Networks ha revelado una vulnerabilidad de severidad alta en PAN-OS que podría permitir a atacantes no autenticados ejecutar código arbitrario o provocar una condición de denegación de servicio (DoS) mediante el envío de tráfico de red especialmente diseñado.

Identificada como CVE-2026-0288, el fallo tiene una puntuación CVSS-B de 9.2 (ALTA, CVSS-BT: 7.2) y el proveedor le ha asignado la calificación de urgencia MÁS ALTA.

El problema surge de múltiples vulnerabilidades de desbordamiento de búfer en el componente User-ID Terminal Server Agent (TSA) de PAN-OS. Un atacante con acceso de red a la IP y al puerto del TSA, que no requiera autenticación ni interacción del usuario, puede explotar el fallo para corromper la memoria, logrando potencialmente la ejecución remota de código o el colapso del servicio afectado.

La vulnerabilidad solo afecta a los dispositivos que tengan configurada al menos una entrada de Terminal Server Agent, que se encuentra en Dispositivo > Identificación de Usuario > Agentes de Servidor de Terminal. Cabe destacar que Panorama no se ve afectado, y Cloud NGFW en AWS permanece sin riesgo.

Vulnerabilidad de PAN-OS de Palo Alto Networks

El fallo abarca múltiples ramas de PAN-OS:

• PAN-OS 12.1: versiones anteriores a 12.1.4-h8, 12.1.7-h2, o 12.1.8
• PAN-OS 11.2: versiones anteriores a 11.2.4-h20, 11.2.7-h18, 11.2.10-h12, o 11.2.13
• PAN-OS 11.1: versiones anteriores a 11.1.4-h35 hasta 11.1.16 (múltiples ramas de hotfix)
• PAN-OS 10.2: versiones anteriores a 10.2.7-h36 hasta 10.2.18-h8
• Prisma Access 11.2.0 y 10.2.0 (calificada con severidad MEDIA debido a los requisitos de autenticación)

Palo Alto Networks señala que la severidad del riesgo varía según la exposición. Los dispositivos con el TSA expuesto a Internet o a redes no fiables se enfrentan a la calificación de severidad ALTA (CVSS-B 9.2), mientras que aquellos que restringen el acceso al TSA a IPs internas fiables ven reducido el riesgo (CVSS-B 7.7). El proveedor afirma que, hasta el momento, no tiene conocimiento de ninguna explotación activa de esta vulnerabilidad.

Palo Alto Networks te insta a aplicar los parches inmediatamente en todas las ramas afectadas, siendo las versiones corregidas específicas según la versión menor (consulta la tabla completa de soluciones en el aviso).

Para los clientes de Prisma Access, las actualizaciones se implementarán durante los ciclos de mantenimiento programados, aunque puedes solicitar actualizaciones bajo demanda a través del soporte.

Como mitigación provisional, debes restringir la conectividad del User-ID Terminal Server Agent únicamente a direcciones IP internas fiables, de acuerdo con las directrices de despliegue de mejores prácticas de Palo Alto Networks. Esto reduce significativamente la superficie de ataque incluso antes de que se apliquen los parches.

La vulnerabilidad fue revelada responsablemente por el investigador de seguridad Liang Zhu, a quien Palo Alto Networks ha acreditado por el descubrimiento. Dado el vector de ataque basado en red, la baja complejidad y la falta de privilegios requeridos, si tienes configuraciones de TSA expuestas, debes priorizar la aplicación de los parches de inmediato.