Tercer día de PHP2Shell y por fin una buena noticia para quien tiene firewall Palo Alto. Este viernes 23 de octubre de 2026, Palo Alto Networks actualizó su aviso de seguridad y publicó las fechas estimadas de los hotfixes de PAN-OS: llegan entre el lunes 26 y el viernes 30 de octubre, según la versión que tengas. Ayer la respuesta oficial todavía era "TBD" (por definir).
Para ubicarte: el 21 de octubre PHP corrigió dos fallas críticas, CVE-2026-109618 y CVE-2026-109619, que permiten ejecutar código en un servidor sin usuario ni contraseña. El 22 contamos que firewalls, conmutadores y NAS traen PHP por dentro y que Palo Alto marcaba PAN-OS y Panorama como afectados sin versión corregida. Hoy esa parte ya tiene fecha.
El calendario de Palo Alto
El aviso CVE-2026-109618, actualizado el 23 de octubre, lista una versión corregida (hotfix) por cada versión de mantenimiento con soporte. Estas son las fechas estimadas que publicó el fabricante:
| Fecha estimada | Versiones corregidas de PAN-OS |
|---|---|
| Lunes 26 oct | 10.2.18-h13, 11.1.16-h4, 11.2.10-h16 |
| Martes 27 oct | 10.2.13-h27, 11.1.13-h16, 11.2.13-h4 |
| Miércoles 28 oct | 10.2.16-h12, 11.1.10-h36, 11.2.16-h1, 12.1.7-h11, 12.2.4-h1 |
| Jueves 29 oct | 10.2.10-h42, 11.1.4-h38, 11.1.6-h40, 11.2.7-h23, 12.1.4-h13 |
| Viernes 30 oct | 10.2.7-h39, 11.1.7-h12, 11.2.4-h23, 12.1.10-h3 |
Tres detalles que importan:
- Son estimaciones. El propio aviso las llama ETA; pueden adelantarse o retrasarse.
- Los hotfixes salen sobre versiones concretas. Si tu firewall está en 11.1.2, por ejemplo, no hay "11.1.2-h" en la lista: primero tendrás que subir a una versión base que sí reciba corrección (como 11.1.4 o posterior). Ese salto es lo que más tiempo de ventana suele consumir.
- Panorama aparece como afectado (virtual y M-Series), pero el aviso no trae una tabla separada para él. Confirma con Palo Alto o con tu integrador qué compilación le corresponde antes de agendar.
Palo Alto sigue diciendo que no conoce explotación maliciosa contra sus productos. En la misma actualización marcó como ya corregidos sus servicios en la nube Cortex XCORE (21 de octubre) y WildFire Cloud (22 de octubre), y como no afectados varios productos de Prisma SD-WAN.
El resto del panorama, al 23 de octubre
| Tema | Estado | Fuente |
|---|---|---|
| Catálogo KEV de CISA | PHP2Shell sigue sin aparecer. Hoy CISA agregó otras dos fallas: Arista VeloCloud Orchestrator (CVE-2026-114625) y el servidor CODE integrado de Collabora en Nextcloud (CVE-2026-110447) | Catálogo KEV, versión 2026.10.23 |
| Explotación | Muchos intentos registrados por Cloudflare, AWS y watchTowr, pero ninguna intrusión confirmada en un sitio en producción con nombre y apellido | Rastreador phpvulnerabilities.app, 23 oct |
| Cisco | Algunos productos afectados: Duo Access Gateway corregido en 3.2.0; Expressway y Ultra-Reliable Wireless Backhaul con corrección planeada; el resto en investigación | Rastreador phpvulnerabilities.app, 23 oct |
| cPanel y Plesk | Paquetes del panel ya actualizados | Rastreador phpvulnerabilities.app, 23 oct |
El rastreador phpvulnerabilities.app es independiente (no pertenece a PHP ni a ningún fabricante); úsalo como guía y confirma siempre en el aviso oficial de tu marca. El mismo sitio documenta que un reporte de intrusión atribuido a PHP2Shell el 22 de octubre fue retractado esa noche: el ataque usó una falla del propio servicio de la empresa, no de PHP.
Que no esté en el KEV no quiere decir que no haya riesgo: el KEV solo incluye fallas con explotación confirmada, y aquí hay intentos masivos desde antes de que se publicara la falla. Por cierto, si usas Nextcloud con el editor de documentos integrado, la falla que CISA agregó hoy es la misma de la que te avisamos el 15 de octubre: actualiza o quita esa app ya.
Qué hacer hoy y la próxima semana
- Anota la versión exacta de cada firewall y de Panorama. En la consola está en el panel principal (Dashboard, "Software Version"). Con eso ubica tu fila en la tabla de arriba.
- Si tu versión no recibe hotfix, planea el salto hoy. Revisa la ruta de actualización de Palo Alto, descarga con tiempo la versión base y deja lista la ventana. Que el parche salga el 28 no sirve de nada si tu equipo necesita dos saltos previos.
- Respalda la configuración antes de tocar nada. Exporta el "named configuration snapshot" y guárdalo fuera del equipo. Si tienes par en alta disponibilidad, actualiza primero el pasivo.
- Agenda la ventana para el día de tu fecha o el siguiente. No esperes al cierre de mes. Avisa a los usuarios: un reinicio del firewall corta internet, VPN y telefonía IP unos minutos.
- Mantén la consola fuera de internet. Es la mitigación principal que repite el aviso. Si ya la cerraste tras la falla de PAN-OS explotada a mediados de mes, tu riesgo hoy es mucho menor. Compruébalo desde fuera de la oficina con el método de nuestro tutorial para escanear vulnerabilidades en tu red.
- Revisa los registros de la consola desde el 17 de octubre. Inicios de sesión desconocidos, administradores nuevos o cambios de configuración que nadie pidió son motivo para aislar el equipo y pedir apoyo.
- No olvides el resto del inventario. Servidores web, conmutadores tipo FreePBX, NAS y balanceadores siguen en la lista del día 2. Que Palo Alto ya tenga fecha no significa que los demás fabricantes la tengan.
Vigila el aviso oficial durante la semana: la fecha de tu versión puede cambiar. Si tu firewall necesita una ruta de actualización larga o no tienes a alguien que lo haga en horario de baja actividad, en ciberseguridad y redes planeamos la ventana, aplicamos el hotfix y validamos que VPN, reglas y telefonía queden funcionando.
Fuentes: aviso de seguridad CVE-2026-109618 de Palo Alto Networks (publicado el 21 y actualizado el 23 de octubre de 2026); catálogo Known Exploited Vulnerabilities de CISA, versión 2026.10.23; rastreador independiente phpvulnerabilities.app (actualizado el 23 de octubre de 2026); Help Net Security (21 y 22 de octubre de 2026).
