Palo Alto Networks publicó el miércoles 14 de octubre de 2026 el aviso de CVE-2026-0322, una falla de inyección de código en la interfaz de administración de PAN-OS, el sistema de sus firewalls. Quien tenga acceso de red a esa consola y una sesión autenticada puede ejecutar código como root en el equipo. El fabricante ya observó "explotación muy limitada" y le asignó su urgencia más alta. Ese mismo día, CISA la agregó a su catálogo de vulnerabilidades explotadas (KEV).
Si tu empresa tiene un Palo Alto en la orilla de la red, revisa hoy dos cosas: la versión y desde dónde se puede entrar a la consola.
Qué equipos están afectados
Según el aviso, afecta a firewalls PA-Series (físicos), VM-Series (virtuales) y Panorama (la consola central, virtual o M-Series). No afecta a Cloud NGFW ni a Prisma Access. No se necesita ninguna configuración especial para ser vulnerable.
| Rama de PAN-OS | Versiones corregidas |
|---|---|
| 12.2 | 12.2.4 o posterior |
| 12.1 | 12.1.4-h12, 12.1.7-h8, 12.1.10-h2 o posterior |
| 11.2 | 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3; la 11.2.16 tenía fecha estimada del 15 de octubre |
| 11.1 | 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15, 11.1.16-h3 |
| 10.2 | 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11, 10.2.18-h12 |
| Versiones sin soporte | Todas afectadas: hay que subir a una rama soportada |
La regla práctica: busca el hotfix (el sufijo -h) de tu misma versión menor. Si tienes 11.1.6-h algo, la meta es 11.1.6-h39 o saltar a 11.1.16-h3.
Por qué importa aunque pida contraseña
La calificación es CVSS 4.0 de 8.6, alta pero no crítica, porque el atacante necesita privilegios altos: una sesión válida en la consola. Eso no tranquiliza mucho en una PyME:
- Las contraseñas de administrador del firewall casi nunca se rotan. Muchas veces las conoce el integrador que lo instaló hace cuatro años, un ex empleado de sistemas y quien las anotó en una hoja compartida.
- Las credenciales de firewalls se roban en masa. Hace una semana contamos cómo el FBI alertó de decenas de miles de FortiGate con credenciales robadas. Con un usuario de consola en la mano, esta falla da el resto.
- Root es más que administrador. Con root el atacante puede instalar una puerta trasera que sobreviva a cambios de contraseña y no aparezca en la configuración ni en las bitácoras normales.
Palo Alto explica que el riesgo es mucho mayor cuando la interfaz de administración es alcanzable desde internet. Es la misma lección de cada falla de consola de los últimos años.
No hay workaround: solo actualizar o cerrar la consola
El aviso dice textualmente que no hay soluciones alternativas. Mientras actualizas, lo que reduce el riesgo es:
- Limitar la consola a IP internas de confianza o, mejor, a un solo equipo de salto (jump box). Con esa restricción, Palo Alto baja la calificación a 8.5: el ataque pasa de "desde la red" a "desde una red adyacente".
- Firmas de Threat Prevention 510046 y 510047 (contenido 9159-10287 o posterior). Solo cubren de forma limitada y requieren pasar el tráfico de administración por un puerto de datos y descifrarlo. Para la mayoría de las PyMEs, actualizar es más sencillo.
El mismo día, CISA sumó otras tres
El aviso de CISA del 14 de octubre incluye cuatro fallas con explotación activa:
| CVE | Producto | Tipo |
|---|---|---|
| CVE-2026-0322 | Palo Alto PAN-OS | Inyección de código |
| CVE-2026-76519 | Cisco Secure Email Gateway | Recorrido de rutas (path traversal) |
| CVE-2026-105133 | Ahsay AhsayCBS | Falla de autenticación |
| CVE-2026-105134 | Ahsay AhsayCBS | Inyección de comandos |
Las dos de AhsayCBS son las que contamos el 9 de octubre: si tu proveedor de respaldos usa esa consola, pregúntale si ya la protegió. La de Cisco toca el mismo filtro de correo que en septiembre tuvo seis fallas, una ya explotada; CISA la describe como recorrido de rutas y no encontramos todavía un análisis público más detallado.
Esto llega un día después del Patch Tuesday de octubre. El equipo de TI ya tiene la semana llena; el firewall va primero.
Qué hacer hoy
- Identifica la versión. En la consola: Dashboard → General Information → Software Version. Si tienes Panorama, revisa también el Panorama, no solo los firewalls.
- Comprueba desde dónde se entra a la consola. Desde un celular con datos móviles (fuera de tu red), intenta abrir la IP pública del firewall por HTTPS. Si aparece la pantalla de login, tu consola está expuesta: ciérrala hoy en el perfil de administración de la interfaz.
- Programa el hotfix. Pide a tu integrador la ventana para instalar la versión corregida de tu rama, con respaldo de la configuración antes. Si tu versión ya no tiene soporte, este es el momento de planear la migración.
- Revisa cuentas de administrador. Borra las que no reconozcas, cambia las contraseñas compartidas y activa doble factor en la consola. Si tus credenciales pudieron haberse filtrado, sigue esta guía para contraseñas filtradas.
- Mira las bitácoras de configuración y de sistema de las últimas semanas: inicios de sesión desde IP extrañas, cambios a deshoras, comandos que nadie pidió. Si algo no cuadra, trátalo como incidente y no solo como parche pendiente.
- A mediano plazo, deja de publicar consolas y VPN en internet. Un acceso de confianza cero reduce lo que un atacante puede tocar; lo comparamos en VPN tradicional vs. ZTNA.
Si no tienes a nadie que conozca tu firewall, no esperes al próximo aviso: la administración de redes debería incluir parches y revisión de accesos, no solo instalar el equipo.
Firewall expuesto
¿Tu consola de administración se ve desde internet?
Te decimos en un día si tu firewall está en versión vulnerable, quién tiene acceso y qué hay que cerrar, sin importar la marca.
