EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT ha publicado un aviso de severidad alta por una vulnerabilidad de inyección de código en la interfaz de administración de PAN-OS, el sistema operativo de los cortafuegos de Palo Alto Networks.
- ¿Dónde y cuándo? El aviso se emitió el jueves 15 de octubre de 2026, a las 09:40 horas, con el identificador INCIBE-2026-746.
- ¿Qué resultado? Afecta a cinco ramas de PAN-OS (12.2, 12.1, 11.2, 11.1 y 10.2) y ya existen actualizaciones correctivas. Cloud NGFW y Prisma Access no están afectados.
El INCIBE-CERT ha alertado este jueves de una vulnerabilidad de severidad alta en PAN-OS, el sistema operativo de los cortafuegos de Palo Alto Networks.
Inyección de código con privilegios de root en la interfaz de administración
El fallo está registrado como CVE-2026-0322 y anida en la interfaz de administración de PAN-OS. El aviso del INCIBE-CERT detalla que la vulnerabilidad fue comunicada por Suraj Siddharudh, investigador de Palo Alto Networks. En caso de ser explotada, un atacante autenticado con acceso de red y privilegios elevados podría ejecutar código arbitrario con privilegios de root en el propio cortafuegos.
Los equipos afectados son los cortafuegos PA-Series y VM-Series, además de los dispositivos Panorama virtuales y M-Series. El alcance se extiende a cinco ramas de mantenimiento: PAN-OS 12.2, 12.1, 11.2, 11.1 y 10.2. En todos los casos, el problema afecta a versiones anteriores a los parches ya publicados por el fabricante, y las plataformas en la nube Cloud NGFW y Prisma Access quedan expresamente fuera del aviso.
Versiones corregidas y medidas de mitigación
Las versiones corregidas son PAN-OS 12.2.4 y posteriores; 12.1.4-h12, 12.1.7-h8 y 12.1.10-h2; 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 y 11.2.16; 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 y 11.1.16-h3; y 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 y 10.2.18-h12. El aviso subraya que las ramas sin soporte deben migrarse a una versión compatible y corregida.
Para el responsable de seguridad, la lectura es mecánica: identificar qué rama tiene instalada y aplicar la versión corregida de esa misma rama. Cada línea de mantenimiento cuenta con su propio parche, algo habitual en PAN-OS, donde las correcciones se publican de forma escalonada y con nomenclatura específica para cada versión.
No existen soluciones alternativas al parche. Como medida de mitigación, Palo Alto Networks recomienda limitar el acceso a la interfaz de administración a direcciones IP internas de confianza o a un sistema de salto autorizado. Dicho de otro modo: el cortafuegos no debería ser administrable desde cualquier punto de Internet.
Las actualizaciones correctivas ya están disponibles para las cinco ramas afectadas: la exposición real depende de la rapidez con la que se apliquen.
El INCIBE-CERT clasifica la vulnerabilidad con severidad alta y confirma que se ha observado explotación, aunque el fabricante la describe como «muy limitada». El riesgo aumenta de forma notable cuando la interfaz de administración es accesible desde Internet.
El panorama de la ciberseguridad
Los avisos de alerta temprana del INCIBE-CERT trasladan al tejido productivo español las vulnerabilidades con impacto real en empresas y administraciones públicas. Esta afecta a la primera línea de defensa: el cortafuegos de borde es el punto por el que entra y sale el trafico de cualquier organización, y su interfaz de administración es la puerta que un atacante necesita controlar para moverse con comodidad. De ahí que el aviso insista en una medida sencilla y eficaz: restringir ese acceso a direcciones internas de confianza.
El dato que acompaña al aviso es concreto: cinco ramas de mantenimiento afectadas y explotación confirmada, aunque descrita como muy limitada. La respuesta institucional española se apoya en dos equipos coordinados: el INCIBE-CERT, que traslada el aviso al sector privado y a la ciudadanía, y el CCN-CERT (el equipo de respuesta ante incidentes del Centro Criptológico Nacional, dependiente del CNI, que protege las infraestructuras críticas y las administraciones públicas).
La proyección es igual de concreta. Al no existir solución alternativa al parche, las organizaciones que mantengan equipos en ramas sin soporte tendrán que planificar una migración. El aviso mantiene su vigencia mientras existan dispositivos sin actualizar, y la recomendación conjunta del fabricante y del INCIBE-CERT se resume en dos acciones: aplicar la actualización correspondiente y cerrar el acceso a la interfaz de administración. El identificador INCIBE-2026-746 seguirá activo como referencia oficial para los equipos de seguridad que necesiten verificar el estado de sus sistemas.
