Palo Alto Networks ha confirmado una vulnerabilidad crítica de Brotli (CVE-2026-111497) que afecta a algunas implementaciones de firewalls PAN-OS y al cliente de Prisma Cloud Application Security Transporter. Este fallo podría permitir que un atacante, sin necesidad de autenticación, corrompa la memoria, exponga datos sensibles, provoque la caída de un servicio o incluso ejecute código malicioso. La empresa publicó la advertencia correspondiente el 26 de octubre de 2026.

Palo Alto Networks ha confirmado que una vulnerabilidad crítica de Brotli afecta a algunos despliegues de firewalls PAN-OS y a su cliente Prisma Cloud Application Security Transporter.

Identificada como CVE-2026-111497, el fallo podría permitir que un atacante corrompa la memoria, exponga datos sensibles, provoque la caída de un servicio o, potencialmente, ejecute código sin autenticación. La empresa publicó su aviso el 26 de octubre de 2026.

La vulnerabilidad tiene una puntuación CVSS de 9.2, aunque Palo Alto le asigna una urgencia de respuesta moderada. La empresa afirma que no tiene conocimiento de ninguna explotación maliciosa. Su investigación en productos y servicios en la nube sigue en curso, por lo que debes consultar el aviso de seguridad oficial para ver los cambios en las versiones afectadas y los calendarios de parches.

La vulnerabilidad de Brotli afecta a PAN-OS

El fallo se encuentra en c/dec/decode.c, parte del decodificador Brotli de Google. Un flujo comprimido especialmente diseñado puede provocar una escritura fuera de límites, lo que significa que el decodificador escribe más allá de su área de memoria prevista. Las versiones corregidas de Brotli incluyen la 1.0.10, 1.1.1 y 1.2.1 para sus respectivas ramas de lanzamiento.

La misma vulnerabilidad también afecta a otros softwares que utilizan Brotli. Anteriormente se informó sobre actualizaciones de seguridad de Node.js que abordan el fallo del decodificador y la investigación de HTTP2Shell que muestra su impacto más allá del tráfico web. Esos informes muestran por qué actualizar una sola aplicación puede no eliminar las copias vulnerables en otros lugares de tu organización.

Para PAN-OS, la exposición depende de la configuración. Los firewalls de las series PA y VM deben tener activados tanto la inspección de tráfico Brotli como la decodificación TLS/SSL en el plano de datos, que procesa el tráfico de red. La interfaz web de gestión y la API no están afectadas. La inspección de Brotli está desactivada por defecto y no es compatible antes de PAN-OS 11.2.4.

PAN-OS 11.1 y 10.2 no están afectados, al igual que los dispositivos virtuales Panorama y los dispositivos de la serie M. Si ejecutas PAN-OS 11.2.4 o posterior, puedes comprobar el ajuste con show system setting brotli. Un resultado de Enabled: yes confirma que la inspección de Brotli está activa, pero la decodificación TLS/SSL también debe estar habilitada para que se cumplan las condiciones de exposición mencionadas.

Soluciones alternativas que puedes aplicar

Palo Alto recomienda desactivar la inspección de Brotli mientras esperas las correcciones. A través de la interfaz de línea de comandos, puedes ejecutar set system setting brotli-encoding disable y luego usar show system setting brotli para confirmar que aparezca Enabled: no. En PAN-OS 12.1.2 y versiones posteriores, puedes ir a Device > Setup > Content-ID, desmarcar Allow Brotli Encoding y aplicar la configuración.

Los suscriptores de Threat Prevention también reciben una cobertura parcial a través del Threat ID 97686 en la versión de contenido de Aplicaciones y Amenazas 9165 o posterior. Esta protección es condicional, no es una solución completa. El aviso especifica requisitos de enrutamiento de tráfico, decodificación, certificados y políticas para la firma, por lo que no debes asumir que instalar la actualización de contenido por sí sola proporciona protección.

Las correcciones planificadas para PAN-OS abarcan del 27 al 30 de octubre. Incluyen 12.2.4-h1, 12.1.4-h13, 12.1.7-h11, 12.1.10-h3, 11.2.4-h23, 11.2.7-h23, 11.2.10-h17, 11.2.13-h4 y 11.2.16-h1. Estas fechas son estimaciones, no una confirmación de que cada versión esté disponible. Cabe destacar que la 11.2.10-h16 corrige solo problemas de PHP, mientras que la 11.2.10-h17 aborda tanto PHP como Brotli.

Si utilizas el cliente Prisma Cloud Application Security Transporter, debes actualizar a la versión 0.2.9 o posterior. Palo Alto indica que los servicios en la nube listados, incluidos ADEM, Cloud Identity Engine, Hub y Prisma AIRS Gateway, han sido remediados sin que tengas que realizar ninguna acción. Para los firewalls expuestos, la prioridad inmediata es desactivar la inspección de Brotli, verificar el ajuste y rastrear el hotfix adecuado para su despliegue en cuanto esté disponible.