Vulnerabilidades y Avisos de Seguridad: Escritura fuera de límites en productos de Palo Alto Networks

Resumen de la alerta

Palo Alto Networks ha publicado correcciones para una vulnerabilidad crítica identificada como CVE-2026-111497, que afecta al decodificador Brotli utilizado en determinadas versiones de PAN-OS y en Prisma Cloud – Application Security Transporter Client.

El problema consiste en una escritura fuera de límites de un búfer de memoria durante el procesamiento de datos Brotli manipulados. En las condiciones necesarias, un atacante remoto sin autenticación podría provocar la divulgación de información presente en memoria, una denegación de servicio o, potencialmente, la ejecución de código arbitrario.

La alerta tiene severidad crítica. No obstante, la información disponible indica que no existe explotación conocida de esta vulnerabilidad.

Recursos afectados

Los productos y versiones indicados como afectados son los siguientes:

• PAN-OS en cortafuegos PA-Series y VM-Series:
  • Rama 12.2: versiones anteriores a 12.2.4-h1.
  • Rama 12.1: versiones anteriores a 12.1.4-h13, 12.1.7-h11 o 12.1.10-h3, según la línea de mantenimiento.
  • Rama 11.2: desde 11.2.4 y anteriores a 11.2.4-h23, 11.2.7-h23, 11.2.10-h17, 11.2.13-h4 o 11.2.16-h1, según la línea de mantenimiento.
• Prisma Cloud – Application Security Transporter Client: versiones anteriores a 0.2.9.

En el caso de PAN-OS, la exposición requiere que estén activados tanto la inspección Brotli como el descifrado TLS/SSL en el plano de datos. Panorama, así como PAN-OS 11.1 y 10.2, no están afectados según la información publicada.

Descripción de las vulnerabilidades

La vulnerabilidad CVE-2026-111497 se localiza en el decodificador Brotli. Brotli es un mecanismo de compresión que puede emplearse para reducir el tamaño de datos transmitidos a través de una red.

Al analizar contenido comprimido especialmente manipulado, el componente vulnerable puede escribir datos fuera del espacio de memoria previsto para un búfer interno. Este tipo de error puede corromper memoria adyacente y afectar al funcionamiento del sistema o a la confidencialidad de la información procesada.

La investigación fue comunicada por Khai Tran y Sylvie Mayer, de OpenAI Codex Security.

Impacto y nivel de riesgo

Si un atacante remoto sin autenticación logra que un sistema afectado procese datos Brotli manipulados, podría llegar a:

• Revelar información sensible almacenada en memoria.
• Provocar una denegación de servicio mediante la interrupción del servicio afectado.
• Ejecutar código arbitrario de forma potencial.

La posibilidad de ejecución de código arbitrario representa el escenario de mayor impacto, pero debe entenderse como una consecuencia potencial descrita en el aviso. La fuente indica expresamente que la vulnerabilidad no cuenta con explotación conocida.

Para las instalaciones de PAN-OS, la prioridad de revisión debe centrarse en los dispositivos donde coincidan las versiones afectadas con la activación de inspección Brotli y descifrado TLS/SSL en el plano de datos.

Solución y medidas recomendadas

Palo Alto Networks recomienda actualizar los productos afectados a una versión corregida compatible con la línea de mantenimiento utilizada. Entre las versiones disponibles indicadas se encuentran:

• PAN-OS 12.2.4-h1.
• PAN-OS 12.1.7-h11.
• PAN-OS 11.2.10-h17.
• Prisma Cloud – Application Security Transporter Client 0.2.9.

Las restantes correcciones estaban previstas entre el 27 y el 30 de octubre de 2026. Las organizaciones deben comprobar la disponibilidad de la actualización correspondiente en el boletín del fabricante.

Es importante tener en cuenta que PAN-OS 11.2.10-h16 corrige PHP, pero no resuelve completamente este problema: es necesario actualizar a PAN-OS 11.2.10-h17 para incluir también la corrección de Brotli.

Como mitigación temporal para PAN-OS, el fabricante indica la desactivación de Brotli mediante el siguiente comando:

set system setting brotli-encoding disable

La configuración puede verificarse con:

show system setting brotli

El resultado esperado debe mostrar Enabled: no.

Recomendaciones para organizaciones afectadas

1. Identificar los cortafuegos PA-Series y VM-Series que utilicen PAN-OS en las ramas y versiones afectadas, así como las instalaciones de Prisma Cloud – Application Security Transporter Client anteriores a la versión 0.2.9.
2. Comprobar en los dispositivos PAN-OS afectados si están habilitados el descifrado TLS/SSL y la inspección Brotli en el plano de datos, ya que ambas condiciones son necesarias para la exposición descrita.
3. Planificar e instalar la actualización corregida disponible para cada línea de mantenimiento.
4. Si la actualización no está disponible o no puede aplicarse de inmediato, valorar la mitigación oficial consistente en deshabilitar Brotli hasta completar la actualización.
5. Verificar que los dispositivos con PAN-OS 11.2.10 no permanezcan en la versión 11.2.10-h16, dado que la corrección de CVE-2026-111497 requiere 11.2.10-h17.