Qué ocurre
Grupos de ransomware, entre ellos Qilin y Settra, explotan la CVE-2026-0257, un bypass de autenticación en GlobalProtect (PAN-OS) y Prisma Access, para abrir sesiones VPN no autorizadas, según ReliaQuest (11 de octubre de 2026). Divulgada el 13 de mayo, CVSS 7,8.
Cómo funciona
Afecta a los cookies de override de autenticación sin validación adecuada, solo con cierta configuración de certificado. Afectados: PAN-OS 12.1, 11.2, 11.1, 10.2 y Prisma Access 11.2, 10.2; no Panorama ni Cloud NGFW.
Por qué es peligroso
El atacante entra por la VPN de la empresa; se vio Cobalt Strike, BloodHound y SharpHound.
Qué hacer
- Actualice todos los portales y gateways según la tabla exacta.
- Desactive los cookies de override si no se usan.
- Certificado nuevo y exclusivo para los cookies.
- Cierre todas las sesiones activas tras el parche.
- Investigue conexiones inesperadas (p. ej., hostname "kali").
Una conexión VPN exitosa no prueba que el usuario sea legítimo.
Fuentes
- Cybersecurity News (2026-10-11): https://cybersecuritynews.com/palo-alto-globalprotect-flaw-vpn-access/
- Hackers Radar (2026-10-11): https://hackersradar.com/critical-palo-alto-globalprotect-cve-2024-3400-exploited-by-ransomware/
- Palo Alto Networks security advisories: https://security.paloaltonetworks.com/
¿Quiere revisar su VPN y la detección de accesos sospechosos? KGA IT ofrece una consulta gratuita: kga-it.com.