El INCIBE-CERT ha publicado un aviso de severidad alta por una escritura fuera de límites en el decodificador Brotli de PAN-OS, el sistema operativo que gobierna los cortafuegos de Palo Alto Networks.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? Aviso de severidad alta por una escritura fuera de límites en el decodificador Brotli de PAN-OS, registrado como CVE-2026-111497.
- ¿Dónde y cuándo? Publicado por INCIBE-CERT el martes 27 de octubre de 2026 a las 09:25 horas; afecta a cortafuegos PA-Series y VM-Series y a Prisma Cloud.
- ¿Qué resultado? Parches disponibles para las líneas 12.2, 12.1 y 11.2 y para Prisma Cloud; el resto de correcciones llegarán entre el 27 y el 30 de octubre.
El aviso, identificado como INCIBE-2026-793, lo firma el INCIBE-CERT (el equipo de respuesta ante incidentes del Instituto Nacional de Ciberseguridad, el organismo público que gestiona la ciberseguridad de empresas y ciudadanos en España) y llega acompañado de la ficha del CVE, puntuada como crítica —5 sobre 5— y con el campo de explotación marcado como «No»: sin ataques conocidos en la fecha de publicación.
Qué versiones están afectadas y cuáles ya tienen parche
Las actualizaciones ya publicadas son PAN-OS 12.2.4-h1, PAN-OS 12.1.7-h11 y PAN-OS 11.2.10-h17, además de Prisma Cloud Application Security Transporter Client 0.2.9. El resto de correcciones, correspondientes a las demás líneas de mantenimiento, están previstas entre hoy y el 30 de octubre, según el calendario que Palo Alto Networks mantiene en su boletín del fabricante.
El mapa de afectación es el siguiente: en la rama 12.2 quedan expuestas las versiones anteriores a 12.2.4-h1; en 12.1, las anteriores a 12.1.4-h13, 12.1.7-h11 o 12.1.10-h3, según la línea; y en 11.2, desde la 11.2.4 hasta las anteriores a 11.2.4-h23, 11.2.7-h23, 11.2.10-h17, 11.2.13-h4 o 11.2.16-h1. Prisma Cloud queda cubierto a partir de la 0.2.9.
Quedan fuera del aviso Panorama y las ramas PAN-OS 11.1 y 10.2. Pero la versión no lo es todo: la exposición exige que la inspección Brotli y el descifrado TLS/SSL estén activados en el plano de datos, una configuración habitual en las organizaciones que filtran tráfico web cifrado y que convierte al cortafuegos en un punto de entrada privilegiado para un atacante.
El aviso lo firma el INCIBE-CERT con severidad alta y una recomendación taxativa: actualizar a la versión corregida o desactivar Brotli en el plano de datos.
El mecanismo del fallo y la mitigación provisional
El fallo, catalogado como CVE-2026-111497, fue notificado por Khai Tran y Sylvie Mayer, de OpenAI Codex Security. Al procesar datos comprimidos manipulados, el decodificador escribe fuera de un búfer interno y corrompe la memoria adyacente: un atacante remoto sin autenticación que logre que el equipo procese ese contenido puede leer información sensible, provocar una denegación de servicio o, potencialmente, ejecutar código arbitrario.
Mientras se completan las actualizaciones, el aviso recoge una mitigación provisional: deshabilitar Brotli mediante set system setting brotli-encoding disable y verificar con show system setting brotli que el resultado muestre «Enabled: no». La instrucción es relevante porque la versión 11.2.10-h16 corrige PHP pero no Brotli: quien se detenga ahí sigue expuesto y debe saltar a la h17.
La comprobación debe extenderse a los despliegues de Prisma Cloud Application Security Transporter Client, que tiene su propio ritmo de actualización y cuya versión mínima segura es la 0.2.9. En ambos casos, el orden correcto es identificar la línea de mantenimiento en uso, aplicar la corrección correspondiente y documentar la fecha de actualización.
El panorama de la ciberseguridad
La brecha entra en la categoría que más presión ejerce sobre las infraestructuras críticas: la explotación de dispositivos perimetrales —cortafuegos, pasarelas VPN, balanceadores— que están expuestos a internet y custodian el tráfico cifrado. Un fallo en el decodificador de un protocolo de compresión como Brotli no es un detalle menor: si el equipo inspecciona contenido, el ataque llega por la misma vía por la que entra el tráfico legítimo.
El aviso se publica a tiempo. El campo de explotación del CVE figura como «No» y el organismo ha activado el protocolo de alerta temprana con el identificador INCIBE-2026-793, la vía por la que el INCIBE-CERT avisa a administraciones, empresas y operadores críticos antes de que una vulnerabilidad se convierta en incidente. Esa anticipación permite parchear en ventana corta: aquí, entre el 27 y el 30 de octubre.
En España, la respuesta se articula en varias capas: el INCIBE-CERT para empresas y ciudadanía; el CCN-CERT (el equipo de respuesta del Centro Criptológico Nacional, dependiente del CNI, que protege las administraciones públicas y las infraestructuras críticas); y las unidades tecnológicas de la Policía Nacional y la Guardia Civil, que investigan la explotación delictiva de estas brechas cuando se convierte en delito. Esa coordinación es la que permite que un aviso técnico se traduzca en una actualización efectiva y no en una simple notificación.
La recomendación es clara: actualizar a la versión corregida de la línea en uso, revisar si el plano de datos mantiene activos Brotli y el descifrado TLS, y consultar el boletín del fabricante para las correcciones que se irán publicando hasta el 30 de octubre. Si cambia el estado de explotación, el aviso se actualizará. La ventana de riesgo está abierta y el margen se mide en horas.
