[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/pan-os-cve-2026-0322-consola-firewall-explotada":3,"prev-/blog/noticias/pan-os-cve-2026-0322-consola-firewall-explotada":452,"next-/blog/noticias/pan-os-cve-2026-0322-consola-firewall-explotada":429,"related-/blog/noticias/pan-os-cve-2026-0322-consola-firewall-explotada":454,"author-Diego Herrera":473},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":405,"cta":406,"date":412,"dateModified":412,"description":413,"draft":414,"extension":415,"faq":416,"featured":414,"howto":429,"image":430,"imageAlt":431,"intent":432,"keywords":433,"meta":438,"navigation":439,"path":440,"publishedTime":441,"readingTime":442,"seo":443,"seoTitle":444,"stem":445,"tags":446,"__hash__":451},"blog/blog/noticias/pan-os-cve-2026-0322-consola-firewall-explotada.md","Firewalls Palo Alto: atacan la consola de administración con una falla que da control total (CVE-2026-0322)","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":395},"minimark",[11,44,47,52,71,139,151,155,162,189,196,200,203,218,226,230,233,292,305,313,316,320,378,386],[12,13,14,25,26,29,30,33,34,37,38,43],"p",{},[15,16,17,18],"strong",{},"Palo Alto Networks publicó el miércoles 14 de octubre de 2026 el aviso de ",[19,20,24],"a",{"href":21,"rel":22},"https://security.paloaltonetworks.com/CVE-2026-0322",[23],"nofollow","CVE-2026-0322",", una falla de inyección de código en la interfaz de administración de PAN-OS, el sistema de sus firewalls. Quien tenga acceso de red a esa consola y una sesión autenticada puede ",[15,27,28],{},"ejecutar código como root"," en el equipo. El fabricante ya observó ",[15,31,32],{},"\"explotación muy limitada\""," y le asignó su ",[15,35,36],{},"urgencia más alta",". Ese mismo día, CISA la agregó a su ",[19,39,42],{"href":40,"rel":41},"https://www.cisa.gov/news-events/alerts/2026/10/14/cisa-adds-four-known-exploited-vulnerabilities-catalog",[23],"catálogo de vulnerabilidades explotadas (KEV)",".",[12,45,46],{},"Si tu empresa tiene un Palo Alto en la orilla de la red, revisa hoy dos cosas: la versión y desde dónde se puede entrar a la consola.",[48,49,51],"h2",{"id":50},"qué-equipos-están-afectados","Qué equipos están afectados",[12,53,54,55,58,59,62,63,66,67,70],{},"Según el aviso, afecta a firewalls ",[15,56,57],{},"PA-Series"," (físicos), ",[15,60,61],{},"VM-Series"," (virtuales) y ",[15,64,65],{},"Panorama"," (la consola central, virtual o M-Series). ",[15,68,69],{},"No afecta a Cloud NGFW ni a Prisma Access."," No se necesita ninguna configuración especial para ser vulnerable.",[72,73,74,87],"table",{},[75,76,77],"thead",{},[78,79,80,84],"tr",{},[81,82,83],"th",{},"Rama de PAN-OS",[81,85,86],{},"Versiones corregidas",[88,89,90,99,107,115,123,131],"tbody",{},[78,91,92,96],{},[93,94,95],"td",{},"12.2",[93,97,98],{},"12.2.4 o posterior",[78,100,101,104],{},[93,102,103],{},"12.1",[93,105,106],{},"12.1.4-h12, 12.1.7-h8, 12.1.10-h2 o posterior",[78,108,109,112],{},[93,110,111],{},"11.2",[93,113,114],{},"11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3; la 11.2.16 tenía fecha estimada del 15 de octubre",[78,116,117,120],{},[93,118,119],{},"11.1",[93,121,122],{},"11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15, 11.1.16-h3",[78,124,125,128],{},[93,126,127],{},"10.2",[93,129,130],{},"10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11, 10.2.18-h12",[78,132,133,136],{},[93,134,135],{},"Versiones sin soporte",[93,137,138],{},"Todas afectadas: hay que subir a una rama soportada",[12,140,141,142,146,147,150],{},"La regla práctica: busca el hotfix (el sufijo ",[143,144,145],"code",{},"-h",") de ",[15,148,149],{},"tu misma versión menor",". Si tienes 11.1.6-h algo, la meta es 11.1.6-h39 o saltar a 11.1.16-h3.",[48,152,154],{"id":153},"por-qué-importa-aunque-pida-contraseña","Por qué importa aunque pida contraseña",[12,156,157,158,161],{},"La calificación es ",[15,159,160],{},"CVSS 4.0 de 8.6",", alta pero no crítica, porque el atacante necesita privilegios altos: una sesión válida en la consola. Eso no tranquiliza mucho en una PyME:",[163,164,165,172,183],"ul",{},[166,167,168,171],"li",{},[15,169,170],{},"Las contraseñas de administrador del firewall casi nunca se rotan."," Muchas veces las conoce el integrador que lo instaló hace cuatro años, un ex empleado de sistemas y quien las anotó en una hoja compartida.",[166,173,174,177,178,182],{},[15,175,176],{},"Las credenciales de firewalls se roban en masa."," Hace una semana contamos cómo el FBI alertó de ",[19,179,181],{"href":180},"/blog/noticias/fortibleed-fbi-alerta-fortigate-credenciales","decenas de miles de FortiGate con credenciales robadas",". Con un usuario de consola en la mano, esta falla da el resto.",[166,184,185,188],{},[15,186,187],{},"Root es más que administrador."," Con root el atacante puede instalar una puerta trasera que sobreviva a cambios de contraseña y no aparezca en la configuración ni en las bitácoras normales.",[12,190,191,192,195],{},"Palo Alto explica que el riesgo es mucho mayor cuando la interfaz de administración es ",[15,193,194],{},"alcanzable desde internet",". Es la misma lección de cada falla de consola de los últimos años.",[48,197,199],{"id":198},"no-hay-workaround-solo-actualizar-o-cerrar-la-consola","No hay workaround: solo actualizar o cerrar la consola",[12,201,202],{},"El aviso dice textualmente que no hay soluciones alternativas. Mientras actualizas, lo que reduce el riesgo es:",[204,205,206,212],"ol",{},[166,207,208,211],{},[15,209,210],{},"Limitar la consola a IP internas de confianza"," o, mejor, a un solo equipo de salto (jump box). Con esa restricción, Palo Alto baja la calificación a 8.5: el ataque pasa de \"desde la red\" a \"desde una red adyacente\".",[166,213,214,217],{},[15,215,216],{},"Firmas de Threat Prevention"," 510046 y 510047 (contenido 9159-10287 o posterior). Solo cubren de forma limitada y requieren pasar el tráfico de administración por un puerto de datos y descifrarlo. Para la mayoría de las PyMEs, actualizar es más sencillo.",[219,220,223],"callout",{"icon":221,"title":222},"i-lucide-circle-help","Lo que todavía no se sabe",[12,224,225],{},"El aviso no dice quién está explotando la falla, contra cuántas organizaciones ni cómo consiguieron la sesión de administración. Palo Alto la descubrió internamente y, según SecurityOnline, no hay código de explotación público confirmado. Si aparecen indicadores de compromiso, conviene revisar también equipos ya actualizados.",[48,227,229],{"id":228},"el-mismo-día-cisa-sumó-otras-tres","El mismo día, CISA sumó otras tres",[12,231,232],{},"El aviso de CISA del 14 de octubre incluye cuatro fallas con explotación activa:",[72,234,235,248],{},[75,236,237],{},[78,238,239,242,245],{},[81,240,241],{},"CVE",[81,243,244],{},"Producto",[81,246,247],{},"Tipo",[88,249,250,260,271,282],{},[78,251,252,254,257],{},[93,253,24],{},[93,255,256],{},"Palo Alto PAN-OS",[93,258,259],{},"Inyección de código",[78,261,262,265,268],{},[93,263,264],{},"CVE-2026-76519",[93,266,267],{},"Cisco Secure Email Gateway",[93,269,270],{},"Recorrido de rutas (path traversal)",[78,272,273,276,279],{},[93,274,275],{},"CVE-2026-105133",[93,277,278],{},"Ahsay AhsayCBS",[93,280,281],{},"Falla de autenticación",[78,283,284,287,289],{},[93,285,286],{},"CVE-2026-105134",[93,288,278],{},[93,290,291],{},"Inyección de comandos",[12,293,294,295,299,300,304],{},"Las dos de AhsayCBS son las que ",[19,296,298],{"href":297},"/blog/noticias/ahsaycbs-cve-2026-105134-respaldos-explotada","contamos el 9 de octubre",": si tu proveedor de respaldos usa esa consola, pregúntale si ya la protegió. La de Cisco toca el mismo filtro de correo que en septiembre tuvo ",[19,301,303],{"href":302},"/blog/noticias/cisco-secure-email-gateway-vulnerabilidades","seis fallas, una ya explotada","; CISA la describe como recorrido de rutas y no encontramos todavía un análisis público más detallado.",[12,306,307,308,312],{},"Esto llega un día después del ",[19,309,311],{"href":310},"/blog/noticias/patch-tuesday-octubre-2026-1400-fallas","Patch Tuesday de octubre",". El equipo de TI ya tiene la semana llena; el firewall va primero.",[314,315],"ad-banner",{},[48,317,319],{"id":318},"qué-hacer-hoy","Qué hacer hoy",[204,321,322,340,346,352,362,368],{},[166,323,324,327,328,332,333,332,336,339],{},[15,325,326],{},"Identifica la versión."," En la consola: ",[329,330,331],"em",{},"Dashboard"," → ",[329,334,335],{},"General Information",[329,337,338],{},"Software Version",". Si tienes Panorama, revisa también el Panorama, no solo los firewalls.",[166,341,342,345],{},[15,343,344],{},"Comprueba desde dónde se entra a la consola."," Desde un celular con datos móviles (fuera de tu red), intenta abrir la IP pública del firewall por HTTPS. Si aparece la pantalla de login, tu consola está expuesta: ciérrala hoy en el perfil de administración de la interfaz.",[166,347,348,351],{},[15,349,350],{},"Programa el hotfix."," Pide a tu integrador la ventana para instalar la versión corregida de tu rama, con respaldo de la configuración antes. Si tu versión ya no tiene soporte, este es el momento de planear la migración.",[166,353,354,357,358,43],{},[15,355,356],{},"Revisa cuentas de administrador."," Borra las que no reconozcas, cambia las contraseñas compartidas y activa doble factor en la consola. Si tus credenciales pudieron haberse filtrado, sigue ",[19,359,361],{"href":360},"/blog/tutorial/contrasenas-filtradas-empresa","esta guía para contraseñas filtradas",[166,363,364,367],{},[15,365,366],{},"Mira las bitácoras de configuración y de sistema"," de las últimas semanas: inicios de sesión desde IP extrañas, cambios a deshoras, comandos que nadie pidió. Si algo no cuadra, trátalo como incidente y no solo como parche pendiente.",[166,369,370,373,374,43],{},[15,371,372],{},"A mediano plazo, deja de publicar consolas y VPN en internet."," Un acceso de confianza cero reduce lo que un atacante puede tocar; lo comparamos en ",[19,375,377],{"href":376},"/blog/comparativa/vpn-tradicional-vs-ztna","VPN tradicional vs. ZTNA",[12,379,380,381,385],{},"Si no tienes a nadie que conozca tu firewall, no esperes al próximo aviso: la ",[19,382,384],{"href":383},"/servicios/redes","administración de redes"," debería incluir parches y revisión de accesos, no solo instalar el equipo.",[387,388],"call-to-action",{"description":389,"eyebrow":390,"icon":391,"label":392,"title":393,"to":394},"Te decimos en un día si tu firewall está en versión vulnerable, quién tiene acceso y qué hay que cerrar, sin importar la marca.","Firewall expuesto","i-lucide-calendar-check","Agendar revisión","¿Tu consola de administración se ve desde internet?","/contacto",{"title":396,"searchDepth":397,"depth":398,"links":399},"",2,3,[400,401,402,403,404],{"id":50,"depth":397,"text":51},{"id":153,"depth":397,"text":154},{"id":198,"depth":397,"text":199},{"id":228,"depth":397,"text":229},{"id":318,"depth":397,"text":319},"noticias",{"title":407,"description":408,"label":409,"to":410,"icon":411},"Revisamos tu firewall esta semana","Verificamos versión, quién puede entrar a la consola y desde dónde, cuentas de administrador y registros, en Palo Alto, Fortinet, Sophos o SonicWall.","Ver ciberseguridad","/servicios/ciberseguridad","i-lucide-shield-check","2026-10-14","Palo Alto publicó el 14 de octubre CVE-2026-0322: falla ya explotada en la consola de PAN-OS que da control root del firewall. Versiones, parche y qué revisar.",false,"md",[417,420,423,426],{"question":418,"answer":419},"¿Mi firewall Palo Alto está afectado por CVE-2026-0322?","Si es un PA-Series, un VM-Series o un Panorama (virtual o M-Series) con PAN-OS 10.2, 11.1, 11.2, 12.1 o 12.2 sin el hotfix de octubre, sí. El aviso de Palo Alto dice que no hace falta ninguna configuración especial para estar expuesto. Cloud NGFW y Prisma Access no están afectados.",{"question":421,"answer":422},"Si el atacante necesita usuario y contraseña, ¿por qué es tan grave?","Porque convierte una cuenta de administración en control root del equipo, por debajo de lo que la consola deja hacer y registrar. Las contraseñas de administrador se filtran, se reutilizan o se quedan activas cuando se va un proveedor. Palo Alto le puso su urgencia más alta y ya vio explotación, aunque 'muy limitada'.",{"question":424,"answer":425},"¿Hay forma de mitigarlo sin actualizar?","No hay workaround oficial. Lo que reduce el riesgo es que la interfaz de administración solo sea accesible desde IP internas de confianza o desde un único equipo de salto. Las firmas de Threat Prevention 510046 y 510047 dan cobertura limitada y requieren descifrar el tráfico de administración. La solución es actualizar.",{"question":427,"answer":428},"¿Qué otras fallas agregó CISA a su catálogo el mismo día?","El 14 de octubre CISA sumó cuatro al catálogo de vulnerabilidades explotadas (KEV): esta de PAN-OS, una de recorrido de rutas en Cisco Secure Email Gateway (CVE-2026-76519) y las dos de la consola de respaldos AhsayCBS (CVE-2026-105133 y CVE-2026-105134).",null,"/images/blog/noticias/pan-os-cve-2026-0322-consola-firewall-explotada.jpg","Firewall de rack con luces de estado encendidas y un candado sobrepuesto en la consola de administración","informational",[434,435,436,437],"cve-2026-0322","palo alto pan-os vulnerabilidad","firewall palo alto explotada","interfaz de administracion firewall expuesta",{},true,"/blog/noticias/pan-os-cve-2026-0322-consola-firewall-explotada","2026-10-14T15:30:00-06:00",5,{"title":5,"description":413},"Palo Alto PAN-OS CVE-2026-0322: explotada, qué hacer","blog/noticias/pan-os-cve-2026-0322-consola-firewall-explotada",[447,448,449,450],"ciberseguridad","firewall","vulnerabilidades","palo alto","abhviciAFoILRxN4eo6QLhNz90g_-pj2bmmKav4ar7s",{"path":310,"title":453},"Patch Tuesday de octubre: más de 1,400 fallas y un día cero que salta el aviso de archivos descargados",[455,461,467],{"path":456,"title":457,"description":458,"date":412,"category":405,"image":459,"imageAlt":460,"readingTime":442},"/blog/noticias/sophos-firewall-email-suben-precio-1-noviembre","Sophos sube otra vez sus precios el 1 de noviembre: firewalls XGS 10% más caros por segunda vez en cuatro meses","Desde el 1 de noviembre, Sophos sube 10% sus firewalls XGS, sus suscripciones y los AP6. Es el segundo aumento desde julio. Qué revisar antes de renovar.","/images/blog/noticias/sophos-firewall-email-suben-precio-1-noviembre.jpg","Firewall en un rack de comunicaciones junto a una cotización impresa y una calculadora",{"path":462,"title":463,"description":464,"date":412,"category":405,"image":465,"imageAlt":466,"readingTime":442},"/blog/noticias/gemini-gems-se-convierten-skills-17-noviembre","Los Gems de Gemini se convierten en skills el 17 de noviembre, y para usarlos tendrás que dejar que Google guarde tus chats","Desde el 17 de noviembre, los Gems de Gemini pasan a ser skills en cuentas personales. Para usarlas hay que activar el historial. Qué implica para tu empresa.","/images/blog/noticias/gemini-gems-se-convierten-skills-17-noviembre.jpg","Persona en una laptop configurando un asistente de inteligencia artificial con un aviso de privacidad en pantalla",{"path":468,"title":469,"description":470,"date":412,"category":405,"image":471,"imageAlt":472,"readingTime":442},"/blog/noticias/diputados-aprueban-isr-2027-pleno-senado","Diputados aprueban la reforma al ISR 2027 sin cambios y la mandan al Senado; la Ley de Ingresos pasa en lo general","Diputados aprobó la reforma al ISR 2027 (322 a 115) sin tocar el tope a deducciones ni el RESICO, y la Ley de Ingresos en lo general. Qué cambia y qué sigue.","/images/blog/noticias/diputados-aprueban-isr-2027-pleno-senado.jpg","Pleno de la Cámara de Diputados con tablero electrónico de votación y documentos fiscales en primer plano",{"id":474,"avatar":429,"bio":475,"entityType":476,"expertise":477,"extension":478,"meta":479,"name":6,"role":480,"slug":481,"social":429,"stem":482,"url":7,"__hash__":483},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]