Fecha de emisión: 15 de octubre de 2026
CVE ID: CVE-2026-0322
Severidad: ALTA — CVSS 4.0: 8.6 (urgencia sugerida por el fabricante: MÁXIMA)
Vector CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:A/AU:N/R:U/V:D/RE:M/U:Red
Tipo de vulnerabilidad: CWE-94: Inyección de código
Producto afectado: Palo Alto Networks PAN-OS (firewalls PA-Series, VM-Series y Panorama virtual y M-Series)
Explotación activa: Sí — Incluida en el catálogo CISA KEV (Known Exploited Vulnerabilities) desde el 14 de octubre de 2026
Fuente: Palo Alto Networks PSIRT / NVD / CISA / Help Net Security / INCIBE-CERT · avisos / The Hacker News
Clasificación TLP: TLP:CLEAR (Difusión pública)
I. Descripción
Se ha identificado una vulnerabilidad de inyección de código en la interfaz de administración de Palo Alto Networks PAN-OS, registrada como CVE-2026-0322 y calificada con 8.6 de 10 en la escala CVSS 4.0. Un atacante autenticado con acceso de red a la interfaz de administración podría ejecutar código arbitrario con privilegios de root en el firewall.
El riesgo es máximo cuando la interfaz de administración es accesible desde direcciones IP de Internet, y se reduce considerablemente si su acceso está limitado a direcciones internas de confianza o a un único equipo de salto (jump box). No se requiere ninguna configuración especial para estar expuesto.
El 14 de octubre de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la incorporó a su catálogo de Known Exploited Vulnerabilities (KEV). Palo Alto Networks informa que ha observado una explotación muy limitada dirigida a la interfaz de administración.
Descripción técnica publicada en NVD (en inglés): «A remote code execution (RCE) vulnerability in the management interface of Palo Alto Networks PAN-OS® software enables an authenticated attacker with network access to execute arbitrary code with root privileges on the firewall. The security risk posed by this issue is minimized by restricting access to the management interface to only trusted internal IP addresses according to our recommended best practice deployment guidelines. This issue is applicable to PAN-OS software on PA-Series and VM-Series firewalls and on Panorama (virtual and M-Series). Cloud NGFW and Prisma® Access are not impacted by this vulnerability.»
II. Productos Afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| PAN-OS 12.2 | 12.2.0 a 12.2.3 | 12.2.4 o posterior |
| PAN-OS 12.1 | Anteriores a 12.1.4-h12, 12.1.7-h8 y 12.1.10-h2 (según rama) | 12.1.4-h12, 12.1.7-h8 o 12.1.10-h2 o posterior |
| PAN-OS 11.2 | Anteriores a 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 y 11.2.16 (según rama) | 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 o 11.2.16 o posterior (11.2.16 con disponibilidad estimada el 15/10/2026) |
| PAN-OS 11.1 | Anteriores a 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 y 11.1.16-h3 (según rama) | 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 o 11.1.16-h3 o posterior |
| PAN-OS 10.2 | Anteriores a 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 y 10.2.18-h12 (según rama) | 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 o 10.2.18-h12 o posterior |
| Versiones de PAN-OS sin soporte | Todas | Migrar a una versión con soporte y corregida |
No afectados: Cloud NGFW y Prisma Access.
III. Acciones Requeridas
1. Actualizar inmediatamente
Aplicar la versión corregida de PAN-OS que corresponda a la rama instalada, según la tabla anterior y el aviso del fabricante.
2. Restringir el acceso a la interfaz de administración
No existen soluciones alternativas. Mientras se aplica la actualización, impedir el acceso a la interfaz de administración desde Internet y limitarlo a direcciones IP internas de confianza o a un equipo de salto dedicado, conforme a las buenas prácticas del fabricante.
3. Activar firmas de Threat Prevention (protección parcial)
Los clientes con suscripción Threat Prevention pueden habilitar los Threat ID 510046 y 510047 (contenido Applications and Threats 9159-10287 o posterior). Para que surtan efecto se debe enrutar el tráfico de administración a través de un puerto de datos (perfil de administración en una interfaz DP), reemplazar el certificado de administración entrante, descifrar ese tráfico (requiere SSL Decryption) y aplicar Threat Prevention sobre él. La cobertura es limitada y no sustituye la actualización.
4. Verificar posible compromiso
El parche cierra el vector de explotación, pero no elimina un acceso que el atacante ya haya obtenido. Buscar en los registros del firewall, de Panorama y de los equipos perimetrales conexiones hacia o desde las siguientes direcciones IP, asociadas por Palo Alto Networks a intentos de explotación de esta vulnerabilidad:
- 66[.]42[.]72[.]14
- 208[.]83[.]239[.]114
- 149[.]248[.]47[.]234
Revisar también la actividad administrativa inusual desde antes de la actualización (cuentas o sesiones administrativas nuevas, cambios de configuración no autorizados, procesos o conexiones salientes no habituales) y reportar cualquier hallazgo a incidentes@cert.pa.
IV. Referencias
- Palo Alto Networks. CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface. https://security.paloaltonetworks.com/CVE-2026-0322
- National Institute of Standards and Technology (NIST). National Vulnerability Database: CVE-2026-0322. https://nvd.nist.gov/vuln/detail/CVE-2026-0322
- CISA. Known Exploited Vulnerabilities Catalog. https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Help Net Security. CISA flags exploited flaws in Palo Alto, Cisco and Ahsay products. https://www.helpnetsecurity.com/2026/10/15/cve-2026-0322-cve-2026-76519-cve-2026-105133-cve-2026-105134-exploted/
- INCIBE-CERT · avisos. Inyección de código en PAN-OS de Palo Alto Networks. https://www.incibe.es/incibe-cert/alerta-temprana/avisos/inyeccion-de-codigo-en-pan-os-de-palo-alto-networks
- The Hacker News. Palo Alto Networks Patches PAN-OS Authenticated RCE Flaw Amid Active Exploitation. https://thehackernews.com/2026/10/palo-alto-networks-patches-pan-os.html
V. Información de Contacto
CSIRT PANAMA · Computer Security Incident Response Team
Autoridad Nacional para la Innovación Gubernamental
E-Mail: incidentes@cert.pa · info@cert.pa
Phone: +507 520-CERT (2378) · Web: https://cert.pa · X: @CSIRTPanama · Key ID: 16F2B124