Palo Alto Networks revela una vulnerabilidad zero-day que permitía a los atacantes obtener acceso root en sus cortafuegos

Palo Alto Networks reveló una vulnerabilidad de día cero que ya fue utilizada por atacantes contra cortafuegos. El fallo permite ejecutar comandos con privilegios root y controlar por completo el dispositivo de protección. El fabricante publicó correcciones, aunque la evaluación de gravedad es de 8,6 en la escala CVSS.

La vulnerabilidad CVE-2026-0322 afecta a la interfaz de administración de PAN-OS. Para explotar la falla, el atacante necesita credenciales válidas y acceso de red a la interfaz. Si se cumplen ambas condiciones, se puede ejecutar código arbitrario con privilegios de superusuario. Por tanto, no se trata de la explotación de cualquier cortafuegos accesible desde Internet sin autenticación.

El problema se clasificó como CWE-94, una protección insuficiente frente a la inyección de código. Palo Alto Networks no divulgó detalles de la explotación. El ataque no requiere acciones adicionales del usuario ni una configuración especial del dispositivo, aunque la existencia de una cuenta sigue siendo un requisito obligatorio.

Están en riesgo los cortafuegos físicos de la serie PA-Series, las versiones virtuales VM-Series, así como los sistemas de gestión Panorama en máquinas virtuales y los dispositivos M-Series. La falla afecta a las ramas PAN-OS 10.2, 11.1, 11.2, 12.1 y 12.2. Según el fabricante, los servicios en la nube Cloud NGFW y Prisma Access no resultaron afectados.

La empresa confirmó un número extremadamente limitado de intentos de explotación, pero no identificó a las organizaciones afectadas. Se relacionaron con los ataques las direcciones IP 66.42.72.14, 208.83.239.114 y 149.248.47.234. Se recomienda a los administradores revisar los registros en busca de solicitudes desde esas direcciones y limitar el acceso a la interfaz de administración a nodos internos de confianza.

Para PAN-OS 12.2 la corrección está disponible a partir de la versión 12.2.4. En la rama 12.1 se publicaron las compilaciones 12.1.4-h12, 12.1.7-h8 y 12.1.10-h2. Para PAN-OS 10.2, 11.1 y 11.2 la versión necesaria debe seleccionarse según la tabla del fabricante y teniendo en cuenta la compilación instalada. Restringir el acceso de red por sí solo no es suficiente para mitigar la vulnerabilidad.

No existe una solución alternativa completa sin actualizar. Las firmas de Threat Prevention 510046 y 510047 ayudan contra variantes conocidas del ataque, pero requieren el descifrado del tráfico SSL hacia la interfaz de administración. En el boletín de seguridad de Palo Alto Networks se recomienda instalar las correcciones con urgencia.

En mayo de 2026 el fabricante ya advirtió sobre otra vulnerabilidad de PAN-OS que permitía obtener root sin autenticación. CVE-2026-0322 requiere credenciales, pero tras una explotación exitosa el atacante obtiene privilegios elevados en el dispositivo que protege la red corporativa.