Palo Alto Networks warns of PAN-OS RCE flaw exploited in attacks
BleepingComputer · 15 oct, 00:56
Qué hacer: Actualiza PAN-OS a la versión parcheada correspondiente a tu serie (10.2, 11.1, 11.2, 12.1 o 12.2) y restringe el acceso a la interfaz de gestión a direcciones IP internas de confianza.
Palo Alto Networks ha publicado actualizaciones de seguridad para un zero-day RCE en PAN-OS (CVE-2026-0322) que está siendo explotado activamente en ataques contra firewalls. La vulnerabilidad afecta a la interfaz de gestión y permite a atacantes autenticados con acceso de red ejecutar código como root en dispositivos vulnerables. CISA ha incluido el CVE en su catálogo de vulnerabilidades explotadas en la naturaleza, con plazo de mitigación para agencias federales el 17 de octubre.
La vulnerabilidad de severidad 8.6 afecta a firewalls de las series PA y VM, así como a dispositivos Panorama virtual y M-Series, pero no a Cloud NGFW ni Prisma Access. Palo Alto Networks ha confirmado una explotación muy limitada en ataques dirigidos a la interfaz de gestión. Para explotar la flaw se requieren credenciales válidas y acceso de red a dicha interfaz, por lo que la compañía recomienda restringir el acceso a direcciones IP internas de confianza.
La empresa ha publicado parches para PAN-OS 10.2, 11.1, 11.2, 12.1 y 12.2, con una corrección para 11.2.16 esperada el 15 de octubre. Los clientes con versiones antiguas no soportadas deben actualizar a una versión soportada. Palo Alto ha compartido tres direcciones IP utilizadas en los ataques (66.42.72[.]14, 208.83.239[.]114, 149.248.47[.]232) y advierte que no hay workarounds conocidos, aunque las suscripciones de Threat Prevention pueden ofrecer protección limitada contra patrones de ataque conocidos.
Puntos clave
- CVE-2026-0322 en PAN-OS: requiere credenciales y acceso a interfaz de gestión
- Afecta PA-Series, VM-Series, Panorama y M-Series; no afecta Cloud NGFW ni Prisma Access
- Parches disponibles para versiones 10.2, 11.1, 11.2, 12.1, 12.2; versión 11.2.16 el 15 de octubre
- Restricción de acceso a interfaz de gestión a IPs internas de confianza
- Incluido en catálogo CISA KEV; plazo federal de mitigación: 17 de octubre