Palo Alto PAN-OS: una falla de la interfaz de administración da root en los cortafuegos y ya se explota

Palo Alto Networks ha corregido CVE-2026-0322, una falla de la interfaz de administración de PAN-OS que permite a un administrador autenticado ejecutar código como root en los cortafuegos PA-Series y VM-Series y en Panorama. El fabricante ha observado una explotación limitada; CISA dio a las agencias de EE. UU. hasta el 17 de octubre.

Qué ha pasado

El 14 de octubre de 2026, Palo Alto Networks publicó un aviso sobre CVE-2026-0322 (CVSS 4.0: 8,6), una inyección de código en la interfaz web de administración de PAN-OS. Un atacante que llegue a esa interfaz y disponga de una cuenta con privilegios elevados puede ejecutar código arbitrario con permisos de root en el equipo. El fabricante habla de una explotación muy limitada y publica tres direcciones IP vinculadas a los ataques. CISA incluyó la falla en su catálogo de vulnerabilidades explotadas ese mismo día, con plazo hasta el 17 de octubre para las agencias federales, y el CERT-FR la recogió el 15 de octubre.

A quién afecta

A los cortafuegos PA-Series y VM-Series y a Panorama (virtual y M-Series) con PAN-OS 10.2, 11.1, 11.2, 12.1 o 12.2 anteriores a las versiones corregidas. Cloud NGFW y Prisma Access no están afectados. Hace falta iniciar sesión, pero las contraseñas de administración robadas o reutilizadas abundan en cortafuegos cuya página de gestión está abierta a internet.

Qué hacer ahora

1. Compruebe la versión con show system info en la CLI y compárela con la tabla del fabricante.
2. Actualice: 12.2.4; 12.1.4-h12, 12.1.7-h8 o 12.1.10-h2; 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 o 11.2.16; 11.1.16-h3 o el hotfix indicado para su versión 11.1; 10.2.18-h12 o el hotfix indicado para su versión 10.2. Las versiones sin soporte deben pasar a una rama soportada y corregida.
3. Cierre la interfaz de administración a internet y permita solo unas pocas direcciones internas de confianza: es la medida que destaca el fabricante, ya que no hay solución alternativa.
4. Busque rastros: localice en sus registros conexiones desde 66.42.72[.]14, 208.83.239[.]114 y 149.248.47[.]234, revise los inicios de sesión de administradores y los cambios de configuración, y renueve las contraseñas de administración.
5. Con la suscripción Threat Prevention, active las firmas 510046 y 510047, que según el fabricante solo ofrecen una cobertura parcial.

Nuestra opinión

Una página de administración accesible desde cualquier lugar convierte cualquier contraseña filtrada en acceso root al equipo que protege toda la red. Las interfaces de gestión deben estar en una red dedicada o detrás de un VPN, con autenticación multifactor y una alerta en cada nueva sesión de administrador.

Fuentes

• Palo Alto Networks — CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface
• CERT-FR — Multiples vulnérabilités dans les produits Palo Alto Networks (CERTFR-2026-AVI-1326)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-0322
• The Hacker News — Palo Alto Networks Patches PAN-OS Authenticated RCE Flaw Amid Active Exploitation

Cómo elegimos, verificamos y redactamos nuestros análisis →