Ciberseguridad

Se ha explotado una vulnerabilidad de ejecución remota de código a nivel root en los firewalls de Palo Alto (CVE 2026 0300)

La empresa de seguridad Palo Alto Networks reconoció hoy que los atacantes están explotando activamente una vulnerabilidad crítica (CVE-2026-0300) que afecta a sus firewalls, e instó a sus clientes a implementar medidas de mitigación mientras siguen trabajando en las soluciones.

Acerca de CVE-2026-0300

CVE-2026-0300 es una vulnerabilidad de desbordamiento de búfer en el servicio Portal de autenticación de ID de usuario (también conocido como Portal cautivo) del software PAN-OS de Palo Alto Networks. El portal permite la identificación de usuarios para tráfico desconocido, es decir, situaciones en las que el firewall no puede asignar automáticamente una dirección IP a una identidad de usuario específica.

Esta vulnerabilidad puede ser explotada por atacantes no autenticados para ejecutar código arbitrario con privilegios de administrador en los firewalls de las series PA y VM, y puede activarse mediante el envío de paquetes especialmente diseñados.

Palo Alto Networks afirma que la explotación es automatizable, aunque no especuló sobre si los ataques actuales que se están produciendo en la práctica están automatizados.

Simplemente declararon que “se ha observado una explotación limitada dirigida a los portales de autenticación de ID de usuario de Palo Alto Networks que están expuestos a direcciones IP no confiables y/o a la internet pública”.

¿Qué hacer?

Los firewalls de Palo Alto Networks son blanco frecuente de ataques , que se producen a través de vulnerabilidades conocidas y de día cero.

La vulnerabilidad CVE-2026-0300 afecta a los firewalls de las series PA y VM que están configurados para usar el portal de autenticación User-ID y ejecutar el software PAN-OS:

Anterior a las versiones 12.1.4-h5, 11.2.7-h13, 11.2.10-h6, 11.1.4-h33, 11.1.6-h32, 11.1.10-h25, 11.1.13-h5, 10.2.10-h36 y 10.2.18-h6 (que se lanzarán alrededor del 13 de mayo)
Anterior a las versiones 12.1.7, 11.2.4-h17, 11.2.12, 11.1.7-h6, 11.1.15, 10.2.7-h34, 10.2.13-h21 y 10.2.16-h7 (que se lanzarán alrededor del 28 de mayo)

“Los productos Prisma Access, Cloud NGFW y Panorama no se ven afectados por esta vulnerabilidad”, confirmó Palo Alto.

Hasta que se publiquen las actualizaciones de seguridad, los clientes pueden mitigar el riesgo de explotación mediante:

Limitar el acceso al portal vulnerable: permitir el acceso solo desde zonas de confianza.
Desactive el portal si no es necesario ( Device> User Identification > Authentication Portal Settings -> Disable Authentication Portal ).

“Los clientes que siguen las mejores prácticas de seguridad estándar, como restringir el acceso a portales confidenciales a redes internas de confianza, corren un riesgo mucho menor”, añadió la empresa.

Una vez publicadas las actualizaciones de seguridad, deben aplicarse lo antes posible, aunque el acceso al portal cautivo debe seguir restringido únicamente a direcciones IP internas de confianza.

Etiquetado en: Palo Alto PAN-OS Firewall CVE-2026-0300 RCE 0-day

Mayo 6, 2026 01:01 PM
Fuente: helpnetsecurity.com
Publicado por: Cecilia Coria

Buscar

Se ha explotado una vulnerabilidad de ejecución remota de código a nivel root en los firewalls de Palo Alto (CVE 2026 0300)

Acerca de CVE-2026-0300

¿Qué hacer?

Buscar

Alertas

Tutoriales

Eventos