Una vulnerabilidad que Palo Alto Networks corrigió el 13 de mayo sigue siendo, cinco meses después, una de las entradas favoritas del ransomware. Se trata de CVE-2026-0257, una falla en GlobalProtect, la VPN integrada en los firewalls de la marca, que permite a un atacante abrir una sesión de VPN válida sin usuario ni contraseña.
Lo nuevo: según un aviso que ReliaQuest publicó el 9 de octubre, al grupo Qilin, que ya la usaba desde junio, se sumó el grupo Settra. ReliaQuest calcula que la explotación seguirá con alta probabilidad durante unos tres meses más, es decir, hasta enero de 2027. No es una alerta de un día: es un riesgo que estará vigente toda la temporada de cierre de año.
Qué hace la falla, en palabras simples
GlobalProtect puede entregar a cada usuario una "cookie de authentication override": un comprobante que le evita volver a escribir su contraseña cada vez que se conecta. La falla permite falsificar ese comprobante. Con él, el atacante entra a la VPN como si fuera un empleado autorizado y queda dentro de la red interna, con acceso a servidores, al ERP y a las carpetas compartidas.
Palo Alto la califica como severidad alta (CVSS 4.0 de 7.8), pero con urgencia sugerida "máxima" y estado de explotación "atacada". La calificación numérica no es tan alta porque solo afecta ciertas configuraciones; cuando se cumplen, el daño es completo.
| Dato | Detalle |
|---|---|
| Producto | GlobalProtect (portal y gateway) en PAN-OS y Prisma Access |
| Versiones afectadas | PAN-OS 12.1, 11.2, 11.1 y 10.2 anteriores a las corregidas; Prisma Access 10.2 y 11.2 |
| No afectados | Panorama y Cloud NGFW |
| Condición | Cookies de authentication override activas + una configuración de certificados específica |
| Parche | Desde el 13 de mayo de 2026 (aviso actualizado el 3 de junio) |
| Catálogo KEV de CISA | Agregada el 29 de mayo de 2026 |
Fuente: aviso de seguridad de Palo Alto Networks para CVE-2026-0257.
Cómo termina un ataque
Arctic Wolf investigó en junio varias intrusiones que empezaron con esta falla y acabaron con el ransomware Qilin. El patrón que describió en su reporte del 20 de julio es el siguiente:
- Entrada por la VPN con una sesión falsificada, desde equipos que se identificaban con el nombre "kali" (una distribución de Linux usada en pruebas de intrusión).
- Persistencia con tareas programadas, llaves de registro y herramientas legítimas de acceso remoto como AnyDesk, Ngrok, LogMeIn o MeshAgent.
- Robo de credenciales extrayendo la memoria del proceso LSASS y la base de datos de Active Directory.
- Movimiento lateral con PsExec, escritorio remoto y cuentas de administrador comprometidas.
- Robo de información con Rclone, MEGA o ProtonDrive, en los casos de doble extorsión.
- Cifrado de los servidores y borrado de los registros de eventos.
ReliaQuest agrega que en los casos recientes aparecen Cobalt Strike, BloodHound y SharpHound, herramientas para llegar a una cuenta de administrador de dominio.
Por qué sigue funcionando cinco meses después
Porque el firewall es el equipo que "no se toca porque funciona" y nadie revisa sus avisos de seguridad. Lo vimos igual con la campaña FortiBleed contra equipos FortiGate y es parte de por qué el tercer trimestre de 2026 fue récord de ransomware.
Y hay un segundo motivo: parchar no expulsa al que ya entró. Si el atacante instaló AnyDesk en un servidor en junio, el parche de octubre no lo saca.
Qué hacer esta semana
- Confirma si tienes Palo Alto con GlobalProtect. Pregunta a tu proveedor o revisa en la consola: modelo, versión exacta de PAN-OS y si GlobalProtect está publicado a internet.
- Compara tu versión con la tabla de Palo Alto. Las corregidas incluyen, por ejemplo, 12.1.7, 11.2.12, 11.1.15 y 10.2.18-h6 o posteriores, además de varios hotfixes intermedios. Si tu versión ya no tiene soporte, la única salida es subir a una rama vigente.
- Si no puedes actualizar de inmediato, mitiga. Desactiva las opciones de authentication override en portal y gateway, o genera un certificado nuevo usado solo para esas cookies, que no se comparta con nada más.
- Actualiza todo de una vez. Palo Alto advierte que una actualización a medias (un gateway sí, otro no) causa problemas de compatibilidad con las cookies. Incluye firewalls locales si usas Prisma Access en modo híbrido.
- Cierra todas las sesiones activas de GlobalProtect después de parchar. Avisa a los usuarios: tendrán que volver a iniciar sesión una vez, aunque tengan una cookie válida.
- Revisa los registros de VPN desde mayo. Busca conexiones a horas raras, desde países donde no tienes personal o desde equipos llamados "kali". No es prueba de ataque, pero es una pista.
- Busca lo que el atacante deja. Herramientas de acceso remoto que nadie instaló, tareas programadas nuevas, cuentas de administrador recientes, registros de eventos borrados.
- Si encuentras algo, cambia todas las credenciales privilegiadas: administradores de dominio, cuentas de servicio y la cuenta KRBTGT de Active Directory, como recomienda Arctic Wolf. Y confirma que tienes respaldos que sobrevivan a un ransomware antes de tocar nada más.
La lección de fondo
Una VPN que da acceso completo a la red es un punto único de falla. Por eso cada vez más empresas mueven el acceso remoto a esquemas donde cada usuario solo ve las aplicaciones que necesita. Lo explicamos en VPN tradicional vs. ZTNA y, para el panorama completo de amenazas de este año, en ransomware 2026 para PyMEs.
Si tu firewall lo administra alguien externo, pídele por escrito la versión instalada y la fecha de su último parche. Si no lo administra nadie, en ciberseguridad e infraestructura hacemos la revisión, la actualización y la búsqueda de rastros. Con explotación prevista hasta enero, cada semana de retraso cuenta.
