Alerta máxima: zero-day en firewalls Palo Alto bajo ataque activo y sin parche disponible hasta el 13 de mayo

Palo Alto Networks ha publicado un aviso de seguridad urgente confirmando la explotación activa de una vulnerabilidad crítica en PAN-OS. El fallo, CVE-2026-0300 (CVSS 9.3), permite ejecutar código arbitrario con privilegios de root en firewalls PA-Series y VM-Series sin credenciales, sin interacción del usuario y de forma automatable. La CISA lo incorporó el 6 de mayo a su catálogo de vulnerabilidades explotadas conocidas (KEV). El primer parche no llegará hasta el 13 de mayo. En la ventana sin parche, la única defensa es la mitigación activa.

‍

¿Qué se sabe del zero-day CVE-2026-0300 en Palo Alto PAN-OS?

El advisory oficial, publicado el 5 de mayo de 2026 y amplificado por BleepingComputer, The Hacker News, Help Net Security, Wiz y SOC Prime, confirma los siguientes hechos:

• Tipo de vulnerabilidad: desbordamiento de búfer (buffer overflow, CWE-787) en el servicio User-ID Authentication Portal (también conocido como Captive Portal) de PAN-OS.
• Impacto: ejecución remota de código no autenticada con privilegios de root. El atacante solo necesita enviar paquetes especialmente construidos al portal para comprometer el dispositivo por completo.
• Condición de explotabilidad: el portal debe estar habilitado y accesible desde internet o redes no confiables. Los despliegues que restringen el portal a redes internas tienen un riesgo materialmente menor.
• Dispositivos afectados: PA-Series y VM-Series con versiones de PAN-OS anteriores a las versiones corregidas. No afecta a Prisma Access, Cloud NGFW ni a Panorama.
• Exposición real según Shadowserver: más de 5.800 instancias de PAN-OS VM-Series con el puerto 6081 expuesto a internet. La mayoría en Asia (2.466) y Norteamérica (1.998).
• Explotación activa confirmada: Palo Alto la describe como “limitada”, dirigida a portales expuestos a internet. CISA la añadió al catálogo KEV el 6 de mayo.
• Parches: primera ola el 13 de mayo (ramas 12.1.x, 11.2.x). Segunda ola el 28 de mayo (ramas 11.1.x y 10.2.x).
• Automatización confirmada: el propio advisory indica que la explotación es automatizable, lo que permite apuntar a los 5.800 dispositivos expuestos de forma simultánea.

‍

Por qué los firewalls son el objetivo de mayor valor para los atacantes

CVE-2026-0300 afecta al dispositivo que decide qué entra y qué sale de toda la red corporativa. Comprometer un firewall es comprometer el árbitro de la seguridad perimetral, con consecuencias que van muy por encima de cualquier servidor de aplicaciones o endpoint:

1. Visibilidad privilegiada sobre todo el tráfico. Un atacante con acceso root puede inspeccionar, interceptar o modificar tráfico entre segmentos, extraer credenciales en tránsito y desactivar controles sin que los sistemas de detección internos lo vean.
2. Persistencia difícil de detectar. Los firewalls raramente se monitorizan con la misma intensidad que servidores o endpoints. Un implante en el sistema operativo del firewall puede sobrevivir meses sin detección.
3. Vector de cadena de suministro. Los MSPs y proveedores de seguridad gestionada administran firewalls de múltiples clientes desde una misma infraestructura. Comprometer el firewall de un proveedor puede dar acceso a toda su base de clientes de forma encadenada.
4. Punto ciego en los programas de parcheo tradicionales. Muchas organizaciones aplican ciclos de parcheo diferenciados a los dispositivos de seguridad de red, dejando ventanas de exposición más largas que en el resto de la infraestructura.

‍

Cómo se producen este tipo de ataques

La cadena técnica de CVE-2026-0300 sigue estos pasos:

1. Reconocimiento pasivo: el atacante identifica firewalls con el portal expuesto mediante Shodan (puertos 6081/6082) o Shadowserver. Actualmente hay más de 5.800 instancias indexadas.
2. Envío de paquetes maliciosos: sin credenciales ni interacción humana, se envían paquetes construidos al portal. El desbordamiento sobreescribe memoria adyacente (out-of-bounds write).
3. Ejecución como root: la explotación exitosa otorga control total del sistema operativo del firewall con los máximos privilegios.
4. Post-explotación: instalación de implantes persistentes, modificación de políticas de seguridad, intercepción de tráfico, pivotaje a la red interna o acceso a credenciales de otros clientes gestionados desde el mismo dispositivo.

La automatización posible convierte esto en una amenaza de escala: un único actor puede apuntar a los 5.800 firewalls expuestos de forma simultánea.

‍

Lecciones clave: qué debe hacer tu equipo SOC y de seguridad ahora mismo

Mientras no llegue el parche, la gestión de este zero-day depende de la velocidad y precisión en la ejecución de las mitigaciones. Este es el plan de acción hasta el 13 de mayo:

Paso 1 — Identificar exposición (hoy, antes de nada)

• Accede a cada firewall PA-Series o VM-Series y navega a Device > User Identification > Authentication Portal Settings.
• Comprueba si Enable Authentication Portal está activado.
• Si está activado, verifica desde qué zonas o interfaces es accesible el portal (puertos 6081 y 6082). Si alguna zona es “untrust” o apunta a internet: estás en riesgo activo.

Paso 2 — Mitigación inmediata (hoy)

• Opción A (recomendada si no usas el portal activamente): deshabilitar el User-ID Authentication Portal completamente hasta que el parche esté disponible.
• Opción B (si el portal es necesario para operaciones): restringir el acceso al portal exclusivamente a zonas internas de confianza mediante una regla de interface management profile. No dejar el portal accesible desde zonas untrust ni desde internet bajo ningún concepto.
• Verificar que los puertos 6081 y 6082 no están expuestos en ningún perfil de gestión de interfaz accesible desde redes externas.

Paso 3 — Detección y monitorización en SIEM (esta semana)

• Activar alertas sobre tráfico inusual hacia los puertos 6081/6082 desde IPs externas o no clasificadas.
• Monitorizar logs de autenticación del portal para detectar intentos de conexión desde rangos IP no reconocidos.
• Revisar logs de PAN-OS en busca de errores de proceso inusuales en el componente de autenticación (crashes, reinicios inesperados del servicio).
• Correlacionar con feeds de threat intelligence: los IoCs asociados a CVE-2026-0300 están siendo publicados activamente por Wiz, Shadowserver y SOC Prime.

Paso 4 — Plan de parcheo (del 13 al 28 de mayo)

• Identificar qué rama de PAN-OS usa cada firewall y planificar la ventana de actualización: ramas 12.1.x y 11.2.x → parche disponible el 13 de mayo; ramas 11.1.x y 10.2.x → parche disponible el 28 de mayo.
• Priorizar los dispositivos expuestos a internet o con el portal habilitado en zonas no confiables.
• Documentar el plan y comunicarlo a los responsables de infraestructura antes del 10 de mayo.

Paso 5 — Revisión post-incidente (después del parcheo)

• Revisar los logs históricos del portal en busca de actividad anómala durante la ventana de exposición (5-13 mayo).
• Comprobar integridad de las políticas de seguridad: reglas añadidas, modificadas o eliminadas sin justificación.
• Si se detecta actividad sospechosa, tratar el dispositivo como potencialmente comprometido e iniciar un proceso de análisis forense.

‍

La ciberseguridad como prioridad estratégica

CVE-2026-0300 es un recordatorio contundente de que los dispositivos que protegen la infraestructura no están exentos de ser los primeros en comprometerse. La ventana entre la divulgación de un zero-day crítico en un dispositivo de borde y su explotación masiva se mide ahora en horas, no en días.

Las organizaciones que quieren mantener una postura de seguridad real en 2026 necesitan tres capacidades concretas: visibilidad continua sobre el estado y configuración de sus dispositivos de borde, un proceso de respuesta acelerada ante CVEs críticos en activos de alta prioridad, y la capacidad de aplicar mitigaciones de emergencia antes de que lleguen los parches. Sin esas capacidades, el siguiente zero-day encontrará exactamente el mismo gap que CVE-2026-0300 está encontrando esta semana.

‍

Apolo Cybersecurity: respuesta antes del parche

En Apolo Cybersecurity ayudamos a los equipos SOC y a los responsables de seguridad a gestionar exactamente este tipo de situaciones: vulnerabilidades críticas activas en dispositivos de borde con ventanas sin parche. Trabajamos en identificación de exposición en firewalls y dispositivos de red, implantación de mitigaciones de emergencia, monitorización continua con correlación de IoCs en tiempo real, análisis forense post-incidente y acompañamiento en los procesos de parcheo urgente.

Si tu organización tiene firewalls Palo Alto PA-Series o VM-Series y no tienes certeza sobre su nivel de exposición a CVE-2026-0300, este es el momento de verificarlo. No después del 13 de mayo.

‍