Palo Alto Networks ha revelado una vulnerabilidad de ejecución remota de código en el software PAN-OS que se ejecuta en Panorama. Identificada como CVE-2026-0330, el fallo permite que un administrador autenticado con acceso a la red ejecute código arbitrario con privilegios de root.

El aviso del 11 de noviembre de 2026 insta a los usuarios a parchear las implementaciones de Panorama afectadas, mientras que Cloud NGFW, Prisma Access y los firewalls PAN-OS independientes no están impactados.

Palo Alto Networks afirma que no tiene conocimiento de ninguna explotación maliciosa y otorga el crédito al investigador interno Daniel Voce por descubrir y reportar la vulnerabilidad. El aviso de seguridad oficial clasifica el fallo como CWE-94, una debilidad de inyección de código.

Una explotación exitosa permite que un administrador ejecute código con permisos de root en lugar de permanecer dentro de los límites administrativos normales. La evaluación publicada identifica los privilegios elevados como un requisito y señala que no es necesaria la interacción del usuario.

No se requiere ninguna configuración especial para que una instalación de Panorama afectada sea vulnerable. Sin embargo, la explotación requiere tanto la autenticación del administrador como el acceso a la red. No se trata de un ataque no autenticado que cualquier persona en internet pueda llevar a cabo directamente contra un sistema accesible.

Vulnerabilidad RCE de PAN-OS de Palo Alto Networks

Palo Alto Networks asigna al problema una calificación de severidad media, con una puntuación de amenaza CVSS de 6.1 y una puntuación base de 8.6. El proveedor indica una urgencia moderada, pero advierte que el riesgo es mayor cuando se permite el acceso de gestión desde direcciones de internet externas.

El fallo es independiente de la vulnerabilidad de ejecución de código root de PAN-OS CVE-2026-0322 reportada anteriormente. Sobre aquel problema anterior ya se había informado de explotaciones. Esos ataques no deben tomarse como evidencia de que los atacantes estén explotando esta vulnerabilidad de Panorama recién revelada.

Las correcciones cubren PAN-OS 12.2, 12.1, 11.2, 11.1 y 10.2 en Panorama. Para las líneas de mantenimiento más recientes enumeradas en cada rama, las versiones parcheadas incluyen 12.2.4-h2, 12.1.10-h4, 11.2.16-h2, 11.1.16-h5 y 10.2.18-h14. Debes utilizar la guía de actualización del aviso para tu versión instalada.

Hay correcciones adicionales disponibles para líneas de mantenimiento anteriores. Las opciones de PAN-OS 12.1 incluyen 12.1.4-h14 y 12.1.7-h12. Las opciones de PAN-OS 11.2 incluyen 11.2.4-h24, 11.2.7-h24, 11.2.10-h18 y 11.2.13-h5. Hotfixes independientes también cubren versiones de mantenimiento más antiguas de 11.1 y 10.2.

Las versiones no compatibles deben migrar a una versión compatible y corregida. No existe ninguna solución alternativa conocida que corrija el problema subyacente. Palo Alto Networks recomienda limitar el acceso de gestión a direcciones IP internas confiables.

Sus pautas de seguridad de gestión advierten contra la exposición de las interfaces de gestión del firewall o de Panorama a internet u otras redes no confiables.

Restringir el acceso a un "jump box" dedicado puede reducir aún más la exposición. Informes previos sobre interfaces de gestión de PAN-OS expuestas resaltan por qué este límite merece tu atención. Las restricciones de acceso reducen el riesgo, pero no sustituyen la actualización de seguridad.