PAN-OS CVE-2026-0322: no hay un parche, hay veinte

El 14 de octubre Palo Alto Networks publicó el aviso de la CVE-2026-0322: inyección de código en la interfaz de gestión de PAN-OS que permite ejecutar código como root. Ese mismo día entró en el catálogo de vulnerabilidades explotadas de CISA con fecha límite para las agencias federales el 17 de octubre, y con una casilla que no sale en las noticias: "forensicTriage": "Yes". El plazo no es solo parchear; la acción exigida incluye los requisitos de triaje forense de la directiva BOD 26-04.

Hasta aquí, un miércoles normal en el sector. Lo que cambia el trabajo real empieza cuando abres el aviso a buscar el parche, porque no hay uno. Hay veinte versiones corregidas, repartidas en cinco ramas vivas de PAN-OS. Seis de ellas solo en la rama 11.1. Y la que te sirve a ti depende de un número que probablemente eligió otra persona hace años.

El recuento

Veinte. Y el reparto no es caprichoso: cada rama mantiene varios trenes de mantenimiento en paralelo, y el fabricante corrige en el tren donde estás, no subiéndote al siguiente. Una rama joven como la 12.2 tiene un tren y por eso tiene una sola versión corregida. Una rama veterana y muy desplegada como la 11.1 tiene seis trenes vivos, y por eso tiene seis parches distintos para exactamente el mismo fallo.

La consecuencia práctica es poco épica: antes de parchear toca leer el inventario versión a versión, incluida la caja que nadie cuenta. Hace once días contábamos algo parecido con ocho productos y diecinueve versiones en un solo aviso, pero allí el recuento venía de ocho productos distintos. Aquí viene de uno solo, con cinco ramas y varios trenes corriendo dentro de cada una, que es un problema de otra naturaleza: no te lo resuelve saber qué productos tienes, solo saber en qué tren está cada uno.

Qué dice el aviso, y qué no

La CVE-2026-0322 está clasificada como inyección de código (CWE-94) y puntúa 8,6 en CVSS 4.0. Ese 8,6 es el resultado de dos fuerzas opuestas dentro del mismo vector: PR:H —privilegios altos requeridos— lo baja, y E:A —explotación ya observada— lo sube. En la práctica, el atacante necesita una credencial válida con privilegios y acceso de red a la interfaz de gestión. Con las dos cosas, ejecuta código como root en el aparato.

Afecta a PA-Series, VM-Series y Panorama (virtual y M-Series). No afecta a Cloud NGFW ni a Prisma Access, en ninguna versión. Sobre explotación, el aviso es escueto y por eso creíble: «Very limited exploitation has been observed targeting the Palo Alto Networks management interface». No dice campaña masiva. Dice que ya ha pasado.

«Requiere autenticación» no es el consuelo que parece

Cuando un aviso pide credenciales, el reflejo del comité es relajarse. Nosotros hacemos el ejercicio contrario: contar cuántas cuentas con privilegios existen hoy en el plano de gestión de un cortafuegos medio. Está la del administrador. La del integrador que lo montó. La del proveedor de mantenimiento anterior, que nadie revocó porque el día de la migración había cosas más urgentes. La clave de API de la herramienta de monitorización. Y alguna de servicio sin dueño claro, creada para una integración que ya no existe.

Esa lista es la que convierte un PR:H en un problema. Y la vía por la que esas credenciales cambian de manos rara vez es técnica: suele ser una llamada al servicio de soporte, que es un asunto que ya tratamos en quién verifica, al otro lado del teléfono, que eres tú. Revisar quién puede entrar hoy en la interfaz de gestión cuesta una tarde y no requiere ventana de cambios.

Panorama es la pieza que más duele

En la lista de afectados, Panorama va al final y debería ir primero. Un cortafuegos comprometido es un cortafuegos comprometido; el gestor desde el que se empujan las políticas a todo el parque es otra cosa. Quien manda ahí no necesita atacar las cajas una a una: le basta con cambiar lo que las cajas van a aplicar en el siguiente commit.

Y conviene recordar algo que ya escribimos cuando le tocó a otro fabricante: parchear detiene la entrada, no deshace la visita. Si el plano de gestión estuvo expuesto y hubo acceso, lo que el atacante se llevó —reglas, objetos, direccionamiento, el mapa entero de tu red— sigue siendo suyo después del parche. Lo contamos entero en parchear cierra la puerta, pero no borra lo que el atacante ya se llevó.

El aviso dice que no hay solución temporal

Conviene citarlo tal cual, porque se lee poco: «No known workarounds exist for this issue». Lo que el aviso sí ofrece es cobertura parcial por inspección: activar los identificadores de amenaza 510046 y 510047.

Esa cobertura parcial tiene letra pequeña, y conviene leerla antes de apuntarla como hecha: exige cuatro cosas previas —enrutar el tráfico de gestión por un puerto del plano de datos, sustituir el certificado de la interfaz de gestión, descifrar el tráfico de gestión entrante y activar la inspección de amenazas—, y aun así el propio aviso advierte de que la cobertura es limitada.

Montar eso un viernes por la tarde es un proyecto con riesgo propio, no un apaño. Lo que queda está en la misma página y es lo de siempre: «The risk is highest when you allow access to the management interface from external IP addresses on the internet». Restringir la gestión a un conjunto de direcciones internas de confianza o a un único equipo de salto baja el riesgo sin tocar una sola regla de tráfico, y además sigue valiendo para la siguiente CVE de la interfaz de gestión, que llegará.

Lo que haríamos esta semana

1. Listar versiones, no fabricantes. Cada PA-Series, cada VM-Series y cada Panorama, con su versión exacta. El inventario que sirve aquí tiene una columna de versión, no una de marca.
2. Buscar tu tren en el aviso y copiar el número de ahí. De la tabla de arriba te puedes fiar hoy; del aviso, siempre. Si tu rama ya no está soportada, el salto no es un parche: es una actualización planificada.
3. Comprobar la exposición antes que la versión. Si la interfaz de gestión contesta desde internet, eso se arregla hoy y no espera a la ventana de cambios.
4. Revisar las cuentas con privilegios del plano de gestión y quitar las que sobran: ex-proveedores, integraciones muertas, claves de API sin dueño.
5. Mirar atrás en los registros. Esto no es idea nuestra: la entrada del KEV marca "forensicTriage": "Yes" y la acción exigida remite a los requisitos de triaje forense de CISA. El aviso publica tres direcciones asociadas a la actividad observada: 66.42.72.14, 208.83.239.114 y 149.248.47.234. Buscarlas en los accesos a gestión cuesta poco; encontrarlas cambia el plan entero.

Cuándo esto no es una urgencia

Si tu interfaz de gestión solo contesta desde una red de administración separada, las cuentas con privilegios caben en una mano y las revisas, este parche entra en tu ventana normal de cambios. La prisa de tres días es la de CISA con sus agencias, y encima el tercer día cae en sábado, que es un vicio del calendario sobre el que ya escribimos en tres días para parchear y el tercero cae en sábado. Decir lo contrario vendería mejor y sería falso: un reinicio mal elegido de un cortafuegos perimetral se cobra minutos de caída seguros, y lo que el aviso describe hoy es explotación muy limitada.

Lo que hacemos nosotros, y lo que no afirmamos

No somos resellers de ninguna plataforma de seguridad, y esto no es una recomendación de cambiar de fabricante: una CVE en la interfaz de gestión no es un argumento contra un producto, es un recordatorio de dónde vive el riesgo. Operamos red propia y diseñamos, desplegamos y mantenemos infraestructura, con NetBox como fuente de verdad del inventario: ahí es donde vive la columna de versión que hoy decide cuánto tarda esto. La parte de ciberseguridad que de verdad mueve la aguja casi nunca es el parche del día; es que esa lista exista, esté al día y alguien tenga la obligación de mirarla cuando sale un aviso. Tampoco afirmamos cuántos aparatos hay expuestos en España, porque no lo hemos medido.

Fuentes (consultadas el 16-10-2026): la descripción de la vulnerabilidad, la clasificación CWE-94, la puntuación 8,6 en CVSS 4.0 con PR:H, la lista de productos afectados (PA-Series, VM-Series y Panorama virtual y M-Series) y no afectados (Cloud NGFW y Prisma Access), las veinte versiones corregidas de las cinco ramas, el «Upgrade to a supported fixed version» de las ramas sin soporte, la frase «Very limited exploitation has been observed targeting the Palo Alto Networks management interface», las tres direcciones IP asociadas, los identificadores de amenaza 510046 y 510047 con sus cuatro requisitos y su cobertura limitada, y la frase «The risk is highest when you allow access to the management interface from external IP addresses on the internet», salen del aviso oficial de Palo Alto Networks para la CVE-2026-0322. La fecha de publicación (14 de octubre de 2026), la inclusión en el catálogo de vulnerabilidades explotadas de CISA y el plazo del 17 de octubre para las agencias federales, de Help Net Security (15-10-2026). Nuestro, y lo acotamos: el recuento de veinte y su lectura como número de trenes de mantenimiento vivos, el orden de prioridad que pone Panorama primero, la lista de cuentas con privilegios, la comparación entre la mitigación por inspección y la lista de direcciones, los cinco pasos y el «cuándo no es una urgencia».