Palo Alto Networks lanzó actualizaciones para corregir una vulnerabilidad crítica (CVE-2026-0322) en PAN-OS que permite a atacers autenticados ejecutar código como root. El fallo afecta a diversos firewalls y dispositivos Panorama, habiéndose detectado ya algunas explotaciones limitadas. Se recomienda restringir el acceso a la interfaz de gestión y actualizar urgentemente a las versiones corregidas.




Palo Alto Networks ha publicado actualizaciones de seguridad para un zero-day de ejecución remota de código (RCE) de alta gravedad en PAN-OS, rastreado como CVE-2026-0322, que ha sido explotado en ataques dirigidos a firewalls.

La vulnerabilidad afecta a la interfaz de gestión de PAN-OS y permite que atacantes autenticados con acceso a la red ejecuten código como root en los dispositivos vulnerables.

Palo Alto Networks confirmó en un aviso de seguridad [https://security.paloaltonetworks.com/CVE-2026-0322] publicado el miércoles que ha observado una explotación limitada del fallo en diversos ataques.

"Se ha observado una explotación muy limitada dirigida a la interfaz de gestión de Palo Alto Networks", afirmó la empresa.

La vulnerabilidad tiene una puntuación de gravedad de 8.6 y afecta a los firewalls de las series PA y VM, así como a los dispositivos Panorama virtuales y de la serie M. Palo Alto indica que Cloud NGFW y Prisma Access no se ven afectados.

Para explotar la vulnerabilidad, los atacantes necesitan credenciales existentes y acceso de red a la interfaz de gestión de PAN-OS.

Por lo tanto, Palo Alto Networks recomienda restringir el acceso a la interfaz de gestión únicamente a direcciones IP internas de confianza.

La compañía ha lanzado correcciones para las versiones afectadas de PAN-OS 10.2, 11.1, 11.2, 12.1 y 12.2, y se espera un parche para PAN-OS 11.2.16 el 15 de octubre.

Los clientes que utilicen versiones antiguas no compatibles deben actualizar a una versión soportada.

Palo Alto afirma que no existen soluciones alternativas conocidas para la vulnerabilidad, pero los clientes con suscripciones de Threat Prevention pueden activar firmas que proporcionan una protección limitada contra patrones de ataque conocidos.

"La cobertura limitada en Threat Prevention significa que, aunque se pueden identificar los patrones de ataque conocidos mediante el ID de amenaza actual, pueden existir variaciones que actualmente no se pueden detectar", advierte Palo Alto.

"Si este CVE y la configuración requerida para la exposición afectan a su entorno, recomendamos actualizar a una versión no afectada".

La vulnerabilidad fue descubierta internamente por Suraj Siddharudh, investigador principal de seguridad de productos en Palo Alto Networks.

La empresa también compartió tres direcciones IP que han estado explotando el fallo: 66.42.72[.]14, 208.83.239[.]114 y 149.248.47[.]234.

Se contactó a Palo Alto Networks para saber cuándo comenzó la explotación, quién está detrás de los ataques y si los atacantes comprometieron los firewalls o los utilizaron para acceder a redes internas.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha añadido ahora el CVE-2026-0322 al catálogo de Vulnerabilidades Explotadas Conocidas y exige que las agencias civiles federales mitiguen la vulnerabilidad antes del 17 de octubre.

Fuente:
BleepingComputer