PAN-OS (Palo Alto Networks): CVE-2026-0322 ya explotada

PAN-OS (Palo Alto Networks): CVE-2026-0322 ya explotada

Qué es CVE-2026-0322 y a quién afectaPalo Alto Networks ha publicado una vulnerabilidad de inyección de código en su sistema operativo PAN-OS, registr...

Qué es CVE-2026-0322 y a quién afecta

Palo Alto Networks ha publicado una vulnerabilidad de inyección de código en su sistema operativo PAN-OS, registrada como CVE-2026-0322 y clasificada como CWE-94. Según la descripción oficial, un atacante autenticado con acceso a la red podría ejecutar código arbitrario con privilegios de root en el propio firewall a través de la interfaz de gestión. La NVD del NIST la califica como ejecución remota de código (RCE) en dicha interfaz de administración.

Firewall de empresa con una brecha en su interfaz de gestión abierta a la red

La gravedad asignada es CVSS 4.0 de 8.6 (HIGH), es decir, una vulnerabilidad grave: requiere autenticación previa y acceso de red, pero el impacto sobre confidencialidad, integridad y disponibilidad es alto una vez se consigue el acceso.

El fallo afecta a PAN-OS en los firewalls de las series PA-Series y VM-Series, así como en Panorama (virtual y M-Series). Palo Alto Networks indica expresamente que Cloud NGFW y Prisma Access no se ven afectados. En cuanto a versiones, la NVD recoge un rango amplio: desde la rama 10.2.0 (sin incluir) hasta configuraciones concretas de la 10.2.7 con distintos hotfix (h1, h3, h12, h16, h18, h19, h21, h24, h32, entre otras), y el tramo desde 12.2.0 (incluida) hasta 12.2.4 (sin incluir). La lista completa supera las 240 configuraciones, por lo que conviene contrastar la versión exacta con el aviso del fabricante.

Por qué es urgente: ya se explota en ataques reales

No estamos ante un riesgo teórico. CISA añadió CVE-2026-0322 a su catálogo KEV (Known Exploited Vulnerabilities) el 14 de octubre de 2026, lo que confirma que la vulnerabilidad ya se está explotando en ataques reales. La misma fecha figura como publicación en la NVD.

El plazo que CISA da a las agencias federales de EE. UU. para corregirla vence el 17 de octubre de 2026, apenas tres días después. La acción exigida pasa por aplicar las mitigaciones siguiendo las instrucciones del fabricante, conforme a la directriz BOD 26-04 sobre priorización de actualizaciones según riesgo y a los requisitos de triaje forense; en servicios cloud, seguir esa misma guía o dejar de usar el producto si no hay mitigación disponible. CISA recuerda además que cada organización debe evaluar la exposición a internet de sus activos.

En el material consultado no consta uso en campañas de ransomware, pero eso no rebaja la prioridad: un firewall comprometido con root es la puerta de entrada a toda la red corporativa.

Qué hacer hoy

  • Inventario primero. Comprueba si tu organización usa PAN-OS en PA-Series, VM-Series o Panorama y anota la versión exacta y los hotfix aplicados. Sin ese dato no se puede saber si estás dentro del rango afectado.
  • Aplica la actualización o mitigación del aviso del fabricante. Consulta el aviso oficial de Palo Alto Networks para CVE-2026-0322 y sigue sus instrucciones al pie de la letra. No des por hecho qué versión corrige el fallo si el aviso no lo detalla.
  • Reduce lo expuesto. La propia NVD señala que el riesgo se minimiza restringiendo el acceso a la interfaz de gestión solo a direcciones IP internas de confianza, siguiendo las guías de despliegue recomendadas por el fabricante. Si tu panel de administración es alcanzable desde internet, es la primera medida a revisar.
  • Busca indicios de intrusión. Al tratarse de ejecución de código con root, conviene revisar accesos a la interfaz de gestión, sesiones y cambios de configuración no explicados, y valorar un triaje forense si hay dudas razonables.
  • Documenta y prioriza. Registra la exposición de cada activo y el estado de parcheo: es lo que exige una gestión de vulnerabilidades seria y lo que pedirá cualquier auditoría o ciberaseguradora.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Lleida, Barcelona, Tarragona, Girona y resto de España que tienen webs y servidores propios, muchas veces con un equipo de IT reducido. Frente a un aviso como este, nuestro papel es traducir el CVE a tu realidad: localizar qué activos están afectados, verificar versiones, aplicar el hardening de servidores y paneles de administración, y dejar la superficie expuesta a internet lo más cerrada posible.

Además de la respuesta puntual a una vulnerabilidad concreta, cubrimos el día a día: auditorías de seguridad y pentesting para detectar vulnerabilidades antes de que las exploten, monitorización y respuesta a incidentes, mantenimiento y actualización de WordPress, PrestaShop y Joomla, y reparación de webs hackeadas. Todo ello con el marco del RGPD y la LOPDGDD en mente, porque un incidente de seguridad es también un posible incidente de datos personales.

La lección de CVE-2026-0322 es sencilla: los plazos de CISA son de días, no de meses. Tener un inventario actualizado y un plan de parcheo claro marca la diferencia entre un susto y un incidente grave.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.