Extorsionadores burlaron la seguridad de Palo Alto; ni la autenticación multifactor los detuvo

Una vulnerabilidad en los cortafuegos corporativos de Palo Alto Networks se ha convertido en una herramienta completa de ransomware, que permite acceder a redes protegidas sin contraseña. La unidad Unit 42 confirmó que los grupos Qilin e Inc utilizan un fallo en PAN-OS para eludir la autenticación y luego avanzar por la infraestructura corporativa.

Se trata de la vulnerabilidad CVE-2026-0257, con una puntuación de 7,8 según CVSS 4.0. El fallo afecta al portal y a la pasarela GlobalProtect, por las que los empleados se conectan a las redes de trabajo mediante VPN. Con determinadas configuraciones, los atacantes pueden eludir la verificación de identidad, establecer una conexión VPN e infiltrarse en la infraestructura interna, ignorando incluso la autenticación multifactor.

Las campañas se vinculan a los grupos Spikey Scorpius, conocido como Qilin, y Tarnished Scorpius, que utiliza el cifrador Inc. Mensajes públicos también apuntan a la implicación de los operadores Settra. Unit 42 investiga estos ataques desde principios de junio de 2026. Entre las organizaciones afectadas hay centros médicos, bancos, empresas industriales, organismos gubernamentales y compañías de otros sectores.

Tras la intrusión, los extorsionadores exploran la red interna con herramientas legítimas de administración remota. Luego se desplazan entre equipos mediante RDP y SMB, preparan medios para el robo de credenciales y la exfiltración de información. La fase siguiente puede ser el despliegue del cifrador. Anteriormente, ataques que explotaron la vulnerabilidad GlobalProtect ya habían provocado conexiones VPN no autorizadas.

Unit 42 detectó un escenario especialmente peligroso durante un ataque a infraestructura virtual. Tras obtener acceso por la pasarela VPN, los atacantes alcanzaron el servidor de gestión VMware vCenter y desactivaron el mecanismo de protección execInstalledOnly en los hipervisores ESXi. Después, una aplicación especializada extrajo credenciales directamente del disco virtual VMDK del controlador de dominio, evitando las medidas de detección de amenazas dentro del sistema invitado.

Los atacantes también combinaron el acceso inicial vía PAN-OS con la explotación de CVE-2023-27532 en la infraestructura de copias de seguridad de Veeam. La vulnerabilidad obtuvo 7,5 puntos según CVSS 3.1. Ese enfoque amplía las capacidades del atacante tras la violación del perímetro de la red. Unit 42 no revela el número exacto de organizaciones afectadas ni los casos confirmados de despliegue de cifradores.

El problema se detectó en mayo y las correcciones ya están disponibles para las versiones compatibles de PAN-OS. Siguen siendo vulnerables determinadas configuraciones de GlobalProtect con la función de reautenticación mediante cookie. Palo Alto Networks recomienda instalar las actualizaciones, desactivar la función peligrosa o usar un certificado separado. Unit 42 también aconseja revisar los registros de conexiones VPN y la disponibilidad de las interfaces de gestión en los puertos 4443 y 3879.