Un investigador de seguridad ha revelado cinco vulnerabilidades que reportó responsablemente a Palo Alto Networks. Estos fallos afectan a GlobalProtect, el agente de endpoint y VPN utilizado en miles de redes empresariales en todo el mundo. Esta divulgación ha reavivado el debate sobre la gestión de los informes de vulnerabilidades por parte de los proveedores, incluso cuando los investigadores siguen las normas de divulgación coordinada.

Un investigador de seguridad ha revelado cinco vulnerabilidades que reportó de manera responsable a Palo Alto Networks, las cuales afectan a GlobalProtect, el agente de endpoint y VPN utilizado en miles de redes empresariales en todo el mundo.

La revelación, publicada a través de un sitio de investigación dedicado, ha reavivado el debate sobre cómo los proveedores gestionan los informes de vulnerabilidades, incluso cuando los investigadores siguen las normas de divulgación coordinada.

Según el investigador Martijn van Ramesdonk, los cinco problemas fueron enviados originalmente a Palo Alto Networks a principios de abril de 2026, y dos de ellos fueron finalmente agrupados en el CVE-2026-0251, un conjunto de fallos de escalada de privilegios locales en la aplicación GlobalProtect.

El propio aviso de Palo Alto confirma que los errores permiten que un usuario local con pocos privilegios escale a NT AUTHORITY\SYSTEM en Windows y a root en macOS y Linux, otorgando a un atacante que ya tenga acceso a un endpoint la capacidad de ejecutar comandos arbitrarios con control administrativo total.

• https://globalunprotect.io/exploits.html

La Base de Datos Nacional de Vulnerabilidades asigna una puntuación base CVSS 3.1 de 7.8, lo que refleja la gravedad de la escalada de privilegios locales en un cliente VPN ampliamente desplegado.

Más allá de la escalada de privilegios, el investigador afirma que su trabajo también descubrió un método para recuperar la contraseña de Active Directory de un usuario directamente desde el endpoint abusando de componentes privilegiados de GlobalProtect, un hallazgo con implicaciones mucho más directas para la infraestructura de identidad corporativa que un exploit local típico.

Lo que hace que este caso sea notable no es solo la severidad técnica, sino el relato del investigador sobre el proceso de divulgación. Afirma que las dos vulnerabilidades detrás del CVE-2026-0251 fueron parcheadas inicialmente por Palo Alto Networks sin notificación alguna hacia él y sin darle crédito en el aviso adjunto, lo que lo llevó a protestar públicamente.

Se informa que otras dos vulnerabilidades fueron consideradas fuera del alcance del programa de recompensas por errores (bug bounty) del proveedor, mientras que una quinta permanece sin parchear y sin revelar mientras continúan los trabajos de remediación.

El investigador describe más de 40 correos electrónicos intercambiados con el Equipo de Respuesta a Incidentes de Seguridad de Productos de Palo Alto y múltiples plazos de divulgación incumplidos o modificados a lo largo de varios meses, un proceso que califica como sintomático de un modelo de coordinación roto más que de un fallo técnico.

Cuatro exploits de prueba de concepto vinculados a los fallos revelados ya están disponibles públicamente, mientras que el quinto se mantiene reservado a la espera de una corrección oficial de Palo Alto Networks. Las versiones afectadas abarcan múltiples ramas de GlobalProtect 6.0, 6.2 y 6.3 en Windows, macOS y Linux, y Palo Alto ha publicado versiones parcheadas para cada una, aunque el proveedor ha declarado que no tiene conocimiento de explotaciones activas en el mundo real.

El software de Endpoint y VPN ocupa una posición privilegiada dentro de las redes empresariales, conectando a menudo directamente con Active Directory y los sistemas de identidad, lo que hace que los errores de escalada de privilegios locales y recuperación de credenciales en estos productos sean desproporcionadamente peligrosos en comparación con los fallos en aplicaciones menos confiables.

El punto más amplio del investigador, que la inteligencia artificial está acelerando el descubrimiento de vulnerabilidades más rápido de lo que los proveedores pueden validar, parchear y acreditar los hallazgos, señala un cuello de botella inminente: encontrar errores es cada vez más fácil, pero la divulgación responsable y bien coordinada sigue dependiendo del juicio humano, de procesos internos maduros y de una rendición de cuentas que ninguna automatización puede sustituir.

Fuentes:
https://cybersecuritynews.com/5-vulnerabilities-palo-alto-globalprotect/