Explotación activa de CVE 2026 0257 en PAN OS y GlobalProtect abre puertas a la red interna

Palo Alto Networks ha confirmado que una vulnerabilidad de autenticación en PAN-OS y Prisma Access, registrada como CVE-2026-0257 (CVSS 7.8), está siendo explotada activamente para establecer conexiones VPN no autorizadas a través de GlobalProtect. La característica concreta en riesgo es la llamada "authentication override" cuando está activada en portales o gateways y existe una combinación específica de certificados; en esas condiciones los atacantes pueden sortear los controles y conseguir sesiones VPN válidas hacia la red interna.

Lo relevante, más allá del puntaje medio-alto del CVE, es la confirmación de explotación en entornos reales: Rapid7 documentó compromisos exitosos a partir del 17 de mayo y una segunda ola el 21 de mayo atribuida al mismo actor, y Palo Alto Networks actualizó su aviso al detectar intentos limitados en dispositivos sin parchear. En al menos dos casos reportados, la explotación permitió la asignación de IP de VPN tras manipular la cookie de autenticación y, por tanto, acceso a recursos internos, aunque hasta el momento no se han reportado actividades de seguimiento en esos entornos particulares.

Este incidente encaja en una tendencia más amplia: los appliances de borde y las soluciones de gestión de endpoints son objetivos cada vez más frecuentes para cadenas de ataque dirigidas a obtener acceso inicial y desplegar ladrones de credenciales. Por ejemplo, la explotación reciente de una falla en FortiClient EMS (CVE-2026-35616, CVSS 9.1) se ha utilizado para distribuir el malware ladrón de credenciales EKZ Infostealer, lo que subraya que el acceso VPN comprometido puede ser el primer paso para campañas de exfiltración y movimiento lateral. Para referencias oficiales sobre estos CVE puede consultarse la base de datos NVD: CVE-2026-0257 y CVE-2026-35616, así como los comunicados del proveedor en su portal de seguridad Palo Alto Networks Security Advisory.

Las implicaciones para una organización con dispositivos afectados son claras: un bypass de autenticación en un VPN de borde implica riesgo directo sobre la confidencialidad e integridad de la red interna. Incluso si el actor no realiza actividad adicional tras obtener la sesión, la mera capacidad de establecer una VPN permite explorar servicios internos, probar credenciales, o desplegar herramientas de reconocimiento que facilitan ataques posteriores.

Las recomendaciones prácticas inmediatas deben priorizar la remediación y la detección. En orden de urgencia, las organizaciones deben aplicar los parches oficiales del proveedor tan pronto como estén disponibles y validados; si eso no puede hacerse de forma inmediata, se debe deshabilitar la función de authentication override o, como mitigación alternativa, generar un certificado nuevo que se emplee exclusivamente para la función de override y retire el certificado previo de cualquier uso general. Complementariamente, es crítico revisar los registros de GlobalProtect para identificar sesiones inusuales, correlacionar asignaciones de IP de VPN con logins legítimos y buscar signos de acceso no autorizado.

Desde un punto de vista defensivo más amplio, este tipo de incidentes obliga a reforzar controles: implementar autenticación multifactor robusta para accesos VPN, segmentación de redes para limitar lo que una sesión comprometida puede alcanzar, políticas de cero confianza en acceso remoto y capacidades de detección en endpoints y redes para identificar comportamiento anómalo tras la concesión de una sesión. Además, los equipos de respuesta deben tener procedimientos para aislar dispositivos potencialmente comprometidos, preservar evidencias y ejecutar análisis forense si se detecta actividad lateral o exfiltración.

Para los responsables de seguridad y operación la lección es doble: por un lado, mantener un programa ágil de parcheo y, por otro, asumir que las vulnerabilidades en dispositivos de borde se explotarán rápidamente, por lo que las mitigaciones compensatorias, la telemetría centralizada y los ejercicios de respuesta son imprescindibles. Finalmente, comunicar de forma transparente al resto de la organización sobre la necesidad de rotación de credenciales y sobre las medidas de mitigación aplicadas ayuda a reducir la ventana de exposición y a coordinar una respuesta efectiva.