Palo Alto parchea CVE-2026-0322 de PAN-OS, ya explotada
La falla da control de root en cortafuegos a quien tenga credenciales y acceso a la administración. CISA fijó el 17 de octubre como plazo.
Palo Alto Networks avisó el 14 de octubre de CVE-2026-0322, un error del panel de gestión de PAN-OS, el software que hace funcionar a sus cortafuegos. Permite ejecutar código con permisos de root, el nivel máximo, y la empresa confirma que ya hubo ataques: dice que observó una explotación "muy limitada" contra esa interfaz.
El mismo día la agencia estadounidense de ciberseguridad CISA la incluyó en su catálogo de vulnerabilidades explotadas conocidas. Las agencias civiles federales de Estados Unidos tienen hasta el 17 de octubre para mitigarla.
Para aprovecharla hace falta una cuenta válida y acceso de red a la interfaz de administración. Palo Alto la califica con 8.6 de 10 en CVSS 4.0, la escala que mide la gravedad de una falla. Fue reportada por Suraj Siddharudh, investigador de la propia empresa.
Los cuatro datos
| Dato | Detalle |
|---|---|
| Identificador | CVE-2026-0322 |
| Producto | PAN-OS, en los cortafuegos PA-Series y VM-Series y en la consola Panorama. Cloud NGFW y Prisma Access quedan fuera |
| Versiones corregidas | Rama 12.2: 12.2.4. Rama 12.1: tres builds, desde 12.1.4-h12. Rama 11.2: cuatro, desde 11.2.4-h22. Rama 11.1: seis, y rama 10.2: cinco, todas listadas en el aviso. Valen también las posteriores |
| Parche | Sí, en cinco ramas con soporte; el build 11.2.16 sigue pendiente y la empresa lo estima para el 15 de octubre |
Las versiones sin soporte deben migrar a una corregida. El aviso indica que no hay solución alterna conocida. Como medida de contención, la empresa recomienda que solo se pueda entrar a la administración desde direcciones internas confiables o desde un único equipo intermedio (jump box).
Quienes lo deben atender son los administradores de red de empresas e instituciones; para el usuario final no cambia nada directo. BleepingComputer también reportó el caso. En mayo, Palo Alto corrigió otra falla de PAN-OS ya explotada, CVE-2026-0300, en el portal de autenticación.
No se sabe quién ataca, desde cuándo ni cuántos equipos están comprometidos, y no hay datos de afectación en México. La confirmación de la explotación viene de la propia empresa y de CISA; no hay una medición independiente de su alcance.
