Palo Alto Networks Patches PAN-OS Authenticated RCE Flaw Amid Active Exploitation
The Hacker News · 15 oct, 08:17
Qué hacer: Actualiza PAN-OS a versión 12.2.4 o posterior, o a las versiones con hotfix especificadas según tu rama de versión; mientras tanto, restringe el acceso a la interfaz de gestión a direcciones IP internas de confianza.
Palo Alto Networks ha publicado parches para una vulnerabilidad crítica de RCE autenticado (CVE-2026-0322, CVSS 8,6) en PAN-OS que está siendo explotada activamente en la interfaz de gestión de firewalls PA-Series, VM-Series y Panorama. La agencia CISA ha añadido esta falla al catálogo de vulnerabilidades conocidas explotadas, requiriendo que las agencias federales estadounidenses la cierren antes del 17 de octubre de 2026. Se han identificado tres direcciones IP de EE.UU. asociadas con intentos de explotación limitada.
La vulnerabilidad afecta a la interfaz de gestión de PAN-OS en firewalls PA-Series, VM-Series y sistemas Panorama (virtuales y M-Series), pero no a Cloud NGFW ni Prisma Access. Un atacante autenticado con acceso a la red puede ejecutar código arbitrario con privilegios de root sin necesidad de configuración especial. Palo Alto Networks ha distribuido parches para múltiples ramas de versiones: 12.2.4 o posterior, varias versiones 12.1.x, 11.2.x, 11.1.x y 10.2.x con números de hotfix específicos.
La explotación ha sido descrita como "muy limitada" por Palo Alto Networks, y se han geolocalizad tres direcciones IP de EE.UU. asociadas con intentos de ataque. El riesgo puede mitigarse restringiendo el acceso a la interfaz de gestión a direcciones IP internas confiables o a un jump box. Simultáneamente, Cisco ha alertado sobre la explotación activa de CVE-2026-76519 (CVSS 9,8) en Cisco Secure Email Gateway, que permite a atacantes no autenticados escribir archivos arbitrarios y ejecutar comandos con privilegios de root. Ambas vulnerabilidades han sido incluidas en el catálogo KEV de CISA.
Puntos clave
- RCE autenticado en interfaz de gestión PAN-OS, CVSS 8,6, explotación activa confirmada
- Afecta PA-Series, VM-Series y Panorama; no afecta Cloud NGFW ni Prisma Access
- Parches disponibles en versiones 12.2.4+, 12.1.x-h, 11.2.x-h, 11.1.x-h, 10.2.x-h
- Mitigación: restringir acceso a la interfaz de gestión a IPs de confianza o jump box
- CISA requiere cierre antes del 17 de octubre de 2026 para agencias federales federales