Vulnerabilidades y Avisos de Seguridad: Inyección de código en PAN-OS de Palo Alto Networks

Resumen de la alerta

Palo Alto Networks ha comunicado una vulnerabilidad de severidad alta en PAN-OS, el sistema operativo empleado en determinados cortafuegos y plataformas de gestión del fabricante. El fallo, identificado como CVE-2026-0322, afecta a la interfaz de administración y puede permitir la ejecución de código arbitrario con privilegios de root.

Para que la vulnerabilidad pueda explotarse, el atacante debe estar autenticado, disponer de acceso de red a la interfaz de administración y contar con privilegios elevados. Palo Alto Networks ha observado una explotación muy limitada de este problema, por lo que las organizaciones con equipos afectados deben priorizar la actualización y revisar la exposición de las interfaces de gestión.

Recursos afectados

La vulnerabilidad afecta a PAN-OS instalado en cortafuegos PA-Series y VM-Series, así como en dispositivos Panorama virtuales y M-Series, cuando utilizan las siguientes versiones:

• PAN-OS 12.2, versiones anteriores a 12.2.4.
• PAN-OS 12.1, versiones anteriores a 12.1.4-h12, 12.1.7-h8 o 12.1.10-h2, según la rama instalada.
• PAN-OS 11.2, versiones anteriores a 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 o 11.2.16, según la rama instalada.
• PAN-OS 11.1, versiones anteriores a 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 o 11.1.16-h3, según la rama instalada.
• PAN-OS 10.2, versiones anteriores a 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 o 10.2.18-h12, según la rama instalada.

Cloud NGFW y Prisma Access no están afectados.

Descripción de la vulnerabilidad

CVE-2026-0322 corresponde a una vulnerabilidad de inyección de código en la interfaz de administración de PAN-OS. Este tipo de fallo puede permitir que instrucciones no previstas sean procesadas por el sistema vulnerable.

En este caso, un atacante autenticado que tenga conectividad de red con la interfaz de administración y privilegios elevados podría ejecutar código arbitrario en el cortafuegos con privilegios de root, el nivel de permisos más elevado del sistema.

Impacto y nivel de riesgo

La ejecución de código con privilegios de root podría proporcionar al atacante un control amplio sobre el dispositivo afectado. El riesgo es especialmente relevante cuando la interfaz de administración del cortafuegos está accesible desde Internet.

La explotación no es anónima ni requiere únicamente alcanzar el servicio: según la información disponible, el atacante necesita autenticación y privilegios elevados. Estas condiciones reducen el alcance de los posibles escenarios de ataque, pero no eliminan la necesidad de actuar, especialmente en entornos donde las credenciales administrativas puedan verse comprometidas o donde el acceso de administración esté ampliamente expuesto.

Palo Alto Networks ha observado una explotación muy limitada de la vulnerabilidad. Esto confirma que el fallo ha sido utilizado, aunque la información disponible no detalla el alcance, los objetivos ni las técnicas empleadas.

Solución y medidas recomendadas

La medida principal es actualizar PAN-OS a una versión corregida compatible con la rama utilizada:

• PAN-OS 12.2.4 o posterior.
• PAN-OS 12.1.4-h12, 12.1.7-h8, 12.1.10-h2 o posteriores.
• PAN-OS 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3, 11.2.16 o posteriores.
• PAN-OS 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15, 11.1.16-h3 o posteriores.
• PAN-OS 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11, 10.2.18-h12 o posteriores.

Los sistemas que ejecuten versiones anteriores sin soporte deben migrarse a una versión compatible que incluya la corrección.

No existen soluciones alternativas indicadas para eliminar la vulnerabilidad. Como medida de mitigación, Palo Alto Networks recomienda restringir el acceso a la interfaz de administración a direcciones IP internas de confianza o a través de un sistema de salto autorizado.

Recomendaciones para organizaciones afectadas

1. Identificar los cortafuegos PA-Series y VM-Series, así como las plataformas Panorama virtuales y M-Series, que utilicen versiones afectadas de PAN-OS.
2. Priorizar la actualización de los dispositivos cuya interfaz de administración sea accesible desde Internet.
3. Aplicar la versión corregida correspondiente a la rama de PAN-OS instalada o planificar la migración cuando el sistema se encuentre fuera de soporte.
4. Limitar el acceso de red a las interfaces de administración a orígenes internos de confianza o a un sistema de salto autorizado, conforme a la recomendación del fabricante.
5. Revisar los privilegios de las cuentas con acceso administrativo, dado que la explotación requiere autenticación y permisos elevados.