Palo Alto Networks ha revelado que ha detectado la explotación activa de una
vulnerabilidad de PAN-OS recientemente divulgada por parte de un actor
malicioso desconocido para obtener acceso no autorizado a los portales de
GlobalProtect.
La vulnerabilidad en cuestión es CVE-2026-0257 (CVSS: 7.8), una falla de
omisión de autenticación que afecta a los componentes de portal y puerta de
enlace del software PAN-OS y que podría ser explotada por actores maliciosos
para establecer conexiones VPN. La vulnrabilidad fue corregida en mayo.
Según la empresa de seguridad de redes, este defecto de seguridad podría
ser explotado por un actor malicioso para eludir los controles de seguridad
e iniciar conexiones VPN.
La vulnerabilidad ha sido explotada en ataques limitados, con actividad
inicial observada el 17 de mayo de 2026. Actualmente se desconoce quién está
detrás de estos esfuerzos de explotación.
«Hasta el momento, no se ha identificado ningún comportamiento posterior al
acceso ni movimiento lateral», declaró Palo Alto Networks.
«Solo una pequeña parte de los dispositivos analizados lograron establecer
sesiones VPN, lo que generó eventos de conexión a la puerta de enlace».
Palo Alto Networks también insta a sus clientes a buscar en los registros de
GlobalProtect eventos de conexión a la puerta de enlace exitosos que coincidan
con los siguientes valores de configuración de cliente predefinidos de una
prueba de concepto (PoC):
- endpoint_os_version: Microsoft Windows 10 Pro de 64 bits
- source_user_info.domain: vacío
La empresa también ha publicado indicadores de compromiso (IoC) asociados a la
actividad.
Direcciones IP:
- 23.128.228[.]6
- 104.207.144[.]154
- 146.19.216[.]119
- 146.19.216[.]120
- 146.19.216[.]125
- 179.43.172[.]213
- 185.195.232[.]139
- 198.12.106[.]60
- 202.144.192[.]47
Nombres de host y direcciones MAC:
- aa:bb:cc:dd:ee:ff
- 00:11:22:33:44:55
- WINDOWS-LAPTOP-001
- DESKTOP-GP01
- GP-CLIENT
A finales del mes pasado, CISA añadió la vulnerabilidad CVE-2026-0257 a su
Catálogo de Vulnerabilidades Explotadas Conocidas (KEV).
Fuente:
THN