CISA incluye en su catálogo de fallos explotados una RCE de PAN-OS
CISA incorporó CVE-2026-0322 al catálogo KEV el 14 de octubre. Palo Alto confirma explotación muy limitada contra la interfaz de gestión de PAN-OS y detalla versiones corregidas.
CVE-2026-0322 permite que un atacante con credenciales válidas y acceso de red a la interfaz de gestión de PAN-OS ejecute código como root en el firewall. Palo Alto Networks confirmó explotación muy limitada y publicó correcciones el 14 de octubre; ese mismo día CISA añadió el fallo a su catálogo de vulnerabilidades explotadas, con fecha de acción federal el 17 de octubre. No es un fallo de acceso anónimo: la autenticación es un requisito, pero no vuelve inocua una consola de administración expuesta.
Qué equipos revisar
El aviso incluye firewalls PA-Series y VM-Series con PAN-OS, además de Panorama virtual y de la serie M. Cloud NGFW y Prisma Access no están afectados según la matriz del fabricante. La condición que dispara el riesgo es que la interfaz de gestión pueda alcanzarse desde redes no confiables. Palo Alto describe el riesgo más alto cuando se permiten conexiones desde direcciones públicas y recomienda limitar la administración a IP internas de confianza.
La corrección depende de la rama. Entre las versiones corregidas figuran PAN-OS 12.2.4; varias revisiones hotfix de 12.1, 11.2, 11.1 y 10.2; y 11.2.16, que el aviso señalaba con fecha estimada del 15 de octubre. No basta con comparar el primer número de versión: hay que seguir la tabla del advisory para identificar el hotfix exacto de la rama y plataforma desplegada. El fabricante publicó varias builds por rama, así que un inventario que solo diga «11.2» no sirve para cerrar el riesgo.
-InfraCrew dice: en un firewall, «la gestión está detrás de una ACL» es una propiedad que conviene demostrar con una comprobación, no con el recuerdo de quien montó el rack.-
-InfraCrew dice: el plano de gestión es la puerta de atrás más importante cuando la puerta principal es un firewall.-
Qué significa aparecer en KEV
La inclusión en KEV significa que CISA reconoce evidencia de explotación real; no mide por sí sola la probabilidad de que cada organización vaya a ser atacada. Palo Alto habla de actividad muy limitada contra la interfaz de gestión. No hay base para llamarlo una campaña masiva, pero sí para sacarlo de la cola ordinaria de parches, sobre todo si el plano administrativo se alcanza desde redes no confiables.
CISA fijó el 17 de octubre para que las agencias federales mitiguen el problema bajo su directiva vinculante. Esa obligación no se traslada automáticamente a cualquier empresa privada. El catálogo sigue siendo una señal operativa útil, pero el plazo federal y la obligación de una empresa europea son cuestiones distintas.
Primero identifica dispositivos y versiones; después restringe temporalmente el acceso administrativo y aplica el hotfix indicado siguiendo el procedimiento del fabricante. Si el parche requiere reinicio o afecta a alta disponibilidad, confirma la secuencia del par y la ventana. La mitigación de red reduce exposición, pero no sustituye la actualización del software vulnerable.
La exposición merece medirse desde el plano de gestión, no desde el servicio que presta el firewall a usuarios. Un dispositivo que inspecciona tráfico público puede tener su administración aislada; otro, por un cambio temporal, puede aceptar accesos desde una VPN amplia o una red de soporte compartida. Revisa las reglas efectivas y los registros de acceso para detectar si hubo conexiones inesperadas antes de cerrar la incidencia. El advisory no confirma intrusión en una instalación concreta: eso requiere revisar telemetría propia y, si aparece actividad sospechosa, seguir el proceso de respuesta de la organización.
-InfraCrew dice: segmentar el acceso reduce la exposición, pero no convierte una versión vulnerable en una versión corregida.-
Diccionario de la Crew
RCE — Ejecución remota de código: posibilidad de ejecutar instrucciones en el equipo desde otra máquina.
KEV — Catálogo de CISA que recoge vulnerabilidades con evidencia de explotación conocida.
Panorama — Plataforma de Palo Alto para administrar centralizadamente firewalls.
