La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. ha añadido una vulnerabilidad de gravedad alta de Palo Alto Networks PAN-OS a su catálogo de Vulnerabilidades Explotadas Conocidas tras confirmar que se está utilizando en ataques reales.

El fallo, rastreado como CVE-2026-0322, afecta a la interfaz de gestión de PAN-OS y podría permitir que un atacante autenticado ejecute código arbitrario con acceso de nivel root en un firewall vulnerable.

Palo Alto Networks publicó su aviso de seguridad el 14 de octubre, describiendo el problema como una vulnerabilidad de ejecución remota de código autenticada.

La empresa asignó al fallo una puntuación CVSS 4.0 de 8.6 y marcó su urgencia como la más alta. Aunque la explotación requiere credenciales válidas y acceso de red a la interfaz de gestión, un compromiso exitoso podría dar a un intruso un control profundo sobre un dispositivo de seguridad que se encuentra en el límite de la red de una organización.

La vulnerabilidad está clasificada como CWE-94, también conocida como control inadecuado de la generación de código o inyección de código. En términos sencillos, la debilidad puede permitir que un atacante suministre una entrada que el sistema trate como código ejecutable.

Debido a que el componente afectado es la interfaz de gestión del firewall, el riesgo aumenta significativamente cuando dicha interfaz es accesible desde sistemas no confiables o expuestos a Internet. Palo Alto Networks afirmó haber visto intentos de explotación muy limitados dirigidos a la interfaz.

Explotación de la Vulnerabilidad de Inyección de Código de PAN-OS

CISA añadió el CVE-2026-0322 al catálogo KEV el 14 de octubre y estableció el 17 de octubre como fecha límite para que las agencias civiles federales de EE. UU. apliquen las medidas de mitigación.

La agencia también marcó el fallo para un triaje forense bajo la Directiva Operativa Vinculante 26-04. Esto significa que las organizaciones afectadas no deben tratar el parcheo como la única tarea. Los equipos de seguridad también deben comprobar si sus dispositivos muestran signos de acceso no autorizado antes y después de la remediación.

El problema afecta a PAN-OS que se ejecuta en firewalls de las series PA y VM, así como a los dispositivos virtuales Panorama y los dispositivos de la serie M. Palo Alto Networks indica que Cloud NGFW y Prisma Access no están afectados.

Debes identificar todos los sistemas de gestión de PAN-OS, confirmar las versiones que estás ejecutando y compararlas con las versiones corregidas del proveedor. Para PAN-OS 12.2, la actualización recomendada es la versión 12.2.4 o posterior. Si utilizas versiones de PAN-OS no compatibles, debes cambiarte a una versión corregida y compatible.

Palo Alto Networks ha lanzado correcciones en las ramas PAN-OS 10.2, 11.1, 11.2, 12.1 y 12.2. La versión segura exacta depende de la línea de mantenimiento que estés utilizando.

Por ejemplo, si estás en PAN-OS 11.2.14 hasta 11.2.15, debes actualizar a 11.2.16 o posterior. Debes revisar cuidadosamente el aviso oficial de Palo Alto Networks antes de planificar las actualizaciones, especialmente donde haya pares de firewalls de alta disponibilidad y dispositivos gestionados por Panorama.

No existe una solución alternativa completa para CVE-2026-0322. Palo Alto Networks aconseja a sus clientes restringir el acceso a la interfaz de gestión a direcciones IP internas de confianza, idealmente a través de un "jump box" reforzado.

La exposición a Internet de los portales de administración de firewalls debe eliminarse siempre que sea posible. Los equipos que utilicen Threat Prevention pueden habilitar los Threat IDs 510046 y 510047. Sin embargo, el proveedor describe esta cobertura como limitada y dice que requiere el descifrado SSL para el tráfico de gestión entrante.

El proveedor también compartió tres direcciones IP vinculadas a intentos de explotación limitados: 66[.]42[.]72[.]14, 208[.]83[.]239[.]114 y 149[.]248[.]47[.]234.

Tu equipo de seguridad debe revisar los registros del firewall, VPN, autenticación y del plano de gestión para detectar actividad que involucre estas direcciones. También deben investigar cuentas de administrador desconocidas, cambios de configuración inesperados, inicios de sesión fallidos y exitosos, y conexiones salientes sospechosas desde los sistemas de gestión del firewall.

Esta última advertencia se suma al creciente número de problemas de seguridad de PAN-OS que debes rastrear. También puedes revisar la cobertura de Cyber Security News sobre una vulnerabilidad previa de inyección de comandos de PAN-OS y una alerta anterior de CISA sobre el KEV de PAN-OS para obtener un contexto más amplio sobre cómo proteger tus entornos de Palo Alto Networks.