[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/globalprotect-cve-2026-0257-ransomware-qilin-settra":3,"prev-/blog/noticias/globalprotect-cve-2026-0257-ransomware-qilin-settra":362,"next-/blog/noticias/globalprotect-cve-2026-0257-ransomware-qilin-settra":340,"related-/blog/noticias/globalprotect-cve-2026-0257-ransomware-qilin-settra":365,"author-Diego Herrera":383},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":317,"cta":318,"date":323,"dateModified":323,"description":324,"draft":325,"extension":326,"faq":327,"featured":325,"howto":340,"image":341,"imageAlt":342,"intent":343,"keywords":344,"meta":349,"navigation":350,"path":351,"publishedTime":352,"readingTime":353,"seo":354,"seoTitle":355,"stem":356,"tags":357,"__hash__":361},"blog/blog/noticias/globalprotect-cve-2026-0257-ransomware-qilin-settra.md","GlobalProtect de Palo Alto: la falla de mayo sigue abriendo la puerta al ransomware","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":307},"minimark",[11,28,43,48,55,62,130,133,137,140,180,183,191,195,208,215,219,278,282,294],[12,13,14,15,19,20,23,24,27],"p",{},"Una vulnerabilidad que Palo Alto Networks corrigió el 13 de mayo sigue siendo, cinco meses después, una de las entradas favoritas del ransomware. Se trata de ",[16,17,18],"strong",{},"CVE-2026-0257",", una falla en ",[16,21,22],{},"GlobalProtect",", la VPN integrada en los firewalls de la marca, que permite a un atacante ",[16,25,26],{},"abrir una sesión de VPN válida sin usuario ni contraseña",".",[12,29,30,31,34,35,38,39,42],{},"Lo nuevo: según un aviso que ReliaQuest publicó el 9 de octubre, al grupo ",[16,32,33],{},"Qilin",", que ya la usaba desde junio, se sumó el grupo ",[16,36,37],{},"Settra",". ReliaQuest calcula que la explotación ",[16,40,41],{},"seguirá con alta probabilidad durante unos tres meses más",", es decir, hasta enero de 2027. No es una alerta de un día: es un riesgo que estará vigente toda la temporada de cierre de año.",[44,45,47],"h2",{"id":46},"qué-hace-la-falla-en-palabras-simples","Qué hace la falla, en palabras simples",[12,49,50,51,54],{},"GlobalProtect puede entregar a cada usuario una \"cookie de authentication override\": un comprobante que le evita volver a escribir su contraseña cada vez que se conecta. La falla permite ",[16,52,53],{},"falsificar ese comprobante",". Con él, el atacante entra a la VPN como si fuera un empleado autorizado y queda dentro de la red interna, con acceso a servidores, al ERP y a las carpetas compartidas.",[12,56,57,58,61],{},"Palo Alto la califica como severidad alta (CVSS 4.0 de 7.8), pero con ",[16,59,60],{},"urgencia sugerida \"máxima\""," y estado de explotación \"atacada\". La calificación numérica no es tan alta porque solo afecta ciertas configuraciones; cuando se cumplen, el daño es completo.",[63,64,65,78],"table",{},[66,67,68],"thead",{},[69,70,71,75],"tr",{},[72,73,74],"th",{},"Dato",[72,76,77],{},"Detalle",[79,80,81,90,98,106,114,122],"tbody",{},[69,82,83,87],{},[84,85,86],"td",{},"Producto",[84,88,89],{},"GlobalProtect (portal y gateway) en PAN-OS y Prisma Access",[69,91,92,95],{},[84,93,94],{},"Versiones afectadas",[84,96,97],{},"PAN-OS 12.1, 11.2, 11.1 y 10.2 anteriores a las corregidas; Prisma Access 10.2 y 11.2",[69,99,100,103],{},[84,101,102],{},"No afectados",[84,104,105],{},"Panorama y Cloud NGFW",[69,107,108,111],{},[84,109,110],{},"Condición",[84,112,113],{},"Cookies de authentication override activas + una configuración de certificados específica",[69,115,116,119],{},[84,117,118],{},"Parche",[84,120,121],{},"Desde el 13 de mayo de 2026 (aviso actualizado el 3 de junio)",[69,123,124,127],{},[84,125,126],{},"Catálogo KEV de CISA",[84,128,129],{},"Agregada el 29 de mayo de 2026",[12,131,132],{},"Fuente: aviso de seguridad de Palo Alto Networks para CVE-2026-0257.",[44,134,136],{"id":135},"cómo-termina-un-ataque","Cómo termina un ataque",[12,138,139],{},"Arctic Wolf investigó en junio varias intrusiones que empezaron con esta falla y acabaron con el ransomware Qilin. El patrón que describió en su reporte del 20 de julio es el siguiente:",[141,142,143,150,156,162,168,174],"ol",{},[144,145,146,149],"li",{},[16,147,148],{},"Entrada por la VPN"," con una sesión falsificada, desde equipos que se identificaban con el nombre \"kali\" (una distribución de Linux usada en pruebas de intrusión).",[144,151,152,155],{},[16,153,154],{},"Persistencia"," con tareas programadas, llaves de registro y herramientas legítimas de acceso remoto como AnyDesk, Ngrok, LogMeIn o MeshAgent.",[144,157,158,161],{},[16,159,160],{},"Robo de credenciales"," extrayendo la memoria del proceso LSASS y la base de datos de Active Directory.",[144,163,164,167],{},[16,165,166],{},"Movimiento lateral"," con PsExec, escritorio remoto y cuentas de administrador comprometidas.",[144,169,170,173],{},[16,171,172],{},"Robo de información"," con Rclone, MEGA o ProtonDrive, en los casos de doble extorsión.",[144,175,176,179],{},[16,177,178],{},"Cifrado"," de los servidores y borrado de los registros de eventos.",[12,181,182],{},"ReliaQuest agrega que en los casos recientes aparecen Cobalt Strike, BloodHound y SharpHound, herramientas para llegar a una cuenta de administrador de dominio.",[184,185,188],"callout",{"icon":186,"title":187},"i-lucide-factory","Settra y la manufactura",[12,189,190],{},"Settra es un grupo poco conocido: apareció en junio de 2026 y, en septiembre, Huntress documentó una variante nueva de su ransomware en ataques contra una empresa de comercio minorista (julio) y una manufacturera (septiembre). Para las plantas de San Luis Potosí y el Bajío, donde la VPN del firewall suele ser el acceso de proveedores, ingenieros y la dirección, es un perfil de víctima muy parecido.",[44,192,194],{"id":193},"por-qué-sigue-funcionando-cinco-meses-después","Por qué sigue funcionando cinco meses después",[12,196,197,198,203,204,27],{},"Porque el firewall es el equipo que \"no se toca porque funciona\" y nadie revisa sus avisos de seguridad. Lo vimos igual con ",[199,200,202],"a",{"href":201},"/blog/noticias/fortibleed-fbi-alerta-fortigate-credenciales","la campaña FortiBleed contra equipos FortiGate"," y es parte de por qué ",[199,205,207],{"href":206},"/blog/noticias/ransomware-record-tercer-trimestre-2026","el tercer trimestre de 2026 fue récord de ransomware",[12,209,210,211,214],{},"Y hay un segundo motivo: ",[16,212,213],{},"parchar no expulsa al que ya entró",". Si el atacante instaló AnyDesk en un servidor en junio, el parche de octubre no lo saca.",[44,216,218],{"id":217},"qué-hacer-esta-semana","Qué hacer esta semana",[141,220,221,227,233,243,249,255,261,267],{},[144,222,223,226],{},[16,224,225],{},"Confirma si tienes Palo Alto con GlobalProtect."," Pregunta a tu proveedor o revisa en la consola: modelo, versión exacta de PAN-OS y si GlobalProtect está publicado a internet.",[144,228,229,232],{},[16,230,231],{},"Compara tu versión con la tabla de Palo Alto."," Las corregidas incluyen, por ejemplo, 12.1.7, 11.2.12, 11.1.15 y 10.2.18-h6 o posteriores, además de varios hotfixes intermedios. Si tu versión ya no tiene soporte, la única salida es subir a una rama vigente.",[144,234,235,238,239,242],{},[16,236,237],{},"Si no puedes actualizar de inmediato, mitiga."," Desactiva las opciones de authentication override en portal y gateway, o genera un ",[16,240,241],{},"certificado nuevo usado solo para esas cookies",", que no se comparta con nada más.",[144,244,245,248],{},[16,246,247],{},"Actualiza todo de una vez."," Palo Alto advierte que una actualización a medias (un gateway sí, otro no) causa problemas de compatibilidad con las cookies. Incluye firewalls locales si usas Prisma Access en modo híbrido.",[144,250,251,254],{},[16,252,253],{},"Cierra todas las sesiones activas de GlobalProtect"," después de parchar. Avisa a los usuarios: tendrán que volver a iniciar sesión una vez, aunque tengan una cookie válida.",[144,256,257,260],{},[16,258,259],{},"Revisa los registros de VPN desde mayo."," Busca conexiones a horas raras, desde países donde no tienes personal o desde equipos llamados \"kali\". No es prueba de ataque, pero es una pista.",[144,262,263,266],{},[16,264,265],{},"Busca lo que el atacante deja."," Herramientas de acceso remoto que nadie instaló, tareas programadas nuevas, cuentas de administrador recientes, registros de eventos borrados.",[144,268,269,272,273,277],{},[16,270,271],{},"Si encuentras algo, cambia todas las credenciales privilegiadas",": administradores de dominio, cuentas de servicio y la cuenta KRBTGT de Active Directory, como recomienda Arctic Wolf. Y confirma que tienes ",[199,274,276],{"href":275},"/blog/tutorial/respaldo-sobrevivir-ransomware","respaldos que sobrevivan a un ransomware"," antes de tocar nada más.",[44,279,281],{"id":280},"la-lección-de-fondo","La lección de fondo",[12,283,284,285,289,290,27],{},"Una VPN que da acceso completo a la red es un punto único de falla. Por eso cada vez más empresas mueven el acceso remoto a esquemas donde cada usuario solo ve las aplicaciones que necesita. Lo explicamos en ",[199,286,288],{"href":287},"/blog/comparativa/vpn-tradicional-vs-ztna","VPN tradicional vs. ZTNA"," y, para el panorama completo de amenazas de este año, en ",[199,291,293],{"href":292},"/blog/tendencias/ransomware-2026-pymes","ransomware 2026 para PyMEs",[12,295,296,297,301,302,306],{},"Si tu firewall lo administra alguien externo, pídele por escrito la versión instalada y la fecha de su último parche. Si no lo administra nadie, en ",[199,298,300],{"href":299},"/servicios/ciberseguridad","ciberseguridad"," e ",[199,303,305],{"href":304},"/servicios/infraestructura","infraestructura"," hacemos la revisión, la actualización y la búsqueda de rastros. Con explotación prevista hasta enero, cada semana de retraso cuenta.",{"title":308,"searchDepth":309,"depth":310,"links":311},"",2,3,[312,313,314,315,316],{"id":46,"depth":309,"text":47},{"id":135,"depth":309,"text":136},{"id":193,"depth":309,"text":194},{"id":217,"depth":309,"text":218},{"id":280,"depth":309,"text":281},"noticias",{"title":319,"description":320,"label":321,"to":299,"icon":322},"¿Tu VPN tiene el parche y nadie ha entrado antes?","Revisamos la versión y configuración de tu firewall, cerramos sesiones sospechosas y buscamos rastros de acceso indebido en tu red. Si hace falta, te ayudamos a pasar a un acceso remoto más seguro.","Ver ciberseguridad","i-lucide-shield-alert","2026-10-19","La falla CVE-2026-0257 de la VPN GlobalProtect tiene parche desde mayo, pero Qilin y ahora Settra la siguen explotando. Qué equipos están en riesgo y qué hacer.",false,"md",[328,331,334,337],{"question":329,"answer":330},"¿Mi firewall Palo Alto es vulnerable a CVE-2026-0257?","Solo si cumple dos condiciones: tiene GlobalProtect (portal o gateway) con las cookies de 'authentication override' activadas y usa una configuración de certificados específica que Palo Alto no detalla en público. Si además corre una versión de PAN-OS 10.2, 11.1, 11.2 o 12.1 anterior a las corregidas, debe tratarse como expuesto. Panorama y Cloud NGFW no están afectados.",{"question":332,"answer":333},"Ya instalé el parche de mayo, ¿estoy a salvo?","Del ataque nuevo, sí. Pero si el equipo estuvo sin parche entre mayo y la fecha en que lo actualizaste, alguien pudo haber entrado antes. ReliaQuest recomienda asumir que un acceso obtenido antes del parche puede seguir activo: cerrar todas las sesiones de GlobalProtect, revisar conexiones VPN inesperadas y buscar herramientas de acceso remoto que nadie instaló.",{"question":335,"answer":336},"¿Qué hago si no puedo actualizar el firewall esta semana?","Palo Alto da dos mitigaciones: desactivar las opciones de 'authentication override' en el portal y el gateway, o usar un certificado dedicado exclusivamente a esas cookies, que no se comparta con el portal, el gateway ni otro servicio. Son medidas temporales; el parche sigue siendo necesario.",{"question":338,"answer":339},"¿Quién está detrás de los ataques?","Arctic Wolf documentó intrusiones de junio que terminaron con el ransomware Qilin. ReliaQuest reportó en octubre que el grupo Settra también la está usando. Ambos son grupos de ransomware que roban datos y cifran servidores para extorsionar.",null,"/images/blog/noticias/globalprotect-cve-2026-0257-ransomware-qilin-settra.jpg","Firewall con un túnel VPN abierto y un candado roto que deja pasar a un intruso a la red interna","informational",[345,346,347,348],"cve-2026-0257","globalprotect vulnerabilidad","palo alto vpn ransomware","qilin settra ransomware",{},true,"/blog/noticias/globalprotect-cve-2026-0257-ransomware-qilin-settra","2026-10-19T08:15:00-06:00",5,{"title":5,"description":324},"GlobalProtect CVE-2026-0257: Qilin y Settra la siguen usando","blog/noticias/globalprotect-cve-2026-0257-ransomware-qilin-settra",[300,358,359,360],"vpn","ransomware","firewall","muRGueGeS9ILO7mztr_V8Y2wCOwhfCMM48YOec6fFIA",{"path":363,"title":364},"/blog/noticias/windows-update-certificados-vencen-2027","Los certificados de Windows Update vencen en 2027: qué equipos se quedarán sin actualizaciones",[366,372,378],{"path":367,"title":368,"description":369,"date":323,"category":317,"image":370,"imageAlt":371,"readingTime":353},"/blog/noticias/regularizacion-fiscal-sat-31-octubre-condonacion-multas","Regularización fiscal del SAT: el 31 de octubre cierra la condonación de multas y recargos","El SAT perdona hasta 100% de multas y recargos de adeudos de 2024 y anteriores. Fechas clave: 31 de octubre, 30 de noviembre y 31 de diciembre de 2026.","/images/blog/noticias/regularizacion-fiscal-sat-31-octubre-condonacion-multas.jpg","Calendario con el 31 de octubre marcado junto a un oficio del SAT y una calculadora",{"path":373,"title":374,"description":375,"date":323,"category":317,"image":376,"imageAlt":377,"readingTime":353},"/blog/noticias/gemini-gratis-solo-flash-lite-ai-plus-pierde-pro","Gemini gratis ya usa casi solo Flash-Lite: qué cambia si tu equipo lo usa para trabajar","Desde el 9 de octubre, Gemini sin suscripción usa casi solo Flash-Lite y AI Plus pierde Pro el 13 de noviembre. Qué significa si lo usas en el trabajo.","/images/blog/noticias/gemini-gratis-solo-flash-lite-ai-plus-pierde-pro.jpg","Selector de modelos de la app de Gemini con solo una opción disponible y las demás bloqueadas con candado",{"path":363,"title":364,"description":379,"date":380,"category":317,"image":381,"imageAlt":382,"readingTime":353},"Microsoft avisó que los certificados de Windows Update vencen el 17 de mayo y el 19 de junio de 2027. Qué equipos dejarán de actualizarse y qué revisar hoy.","2026-10-18","/images/blog/noticias/windows-update-certificados-vencen-2027.jpg","Pantalla de Windows Update con un candado y un calendario marcando mayo y junio de 2027",{"id":384,"avatar":340,"bio":385,"entityType":386,"expertise":387,"extension":388,"meta":389,"name":6,"role":390,"slug":391,"social":340,"stem":392,"url":7,"__hash__":393},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]