El equipo de investigación de Palo Alto Networks ha detectado que los grupos de ransomware Qilin e INC están aprovechando una vulnerabilidad crítica en sus productos PAN‑OS y Prisma Access. La falla, identificada como CVE-2026-0257, permite eludir la autenticación multifactor y establecer túneles VPN sin autorización. Aunque el parche fue liberado en mayo de 2026, los actores continúan explotando sistemas sin actualizar. Esta actividad aumenta el riesgo de compromisos de red internos y exfiltración de datos.

Qué sabemos hasta ahora

Según el informe de Palo Alto, la vulnerabilidad afecta al componente de autenticación de los dispositivos que gestionan acceso remoto. El CVSS asignado es 7.8, lo que indica una gravedad alta. El parche oficial se distribuyó en la versión de mayo de 2026 y corrige el bypass de MFA.

Los grupos Qilin e INC han sido observados configurando conexiones VPN persistentes tras explotar la vulnerabilidad, lo que les otorga presencia prolongada dentro de la infraestructura comprometida. No se han divulgado indicadores de compromiso (IOCs) específicos más allá del uso de la vulnerabilidad.

Análisis técnico

El vector de ataque se basa en la manipulación del flujo de autenticación de PAN‑OS. Los atacantes envían una solicitud de establecimiento de túnel VPN que omite la verificación del token MFA, aprovechando la lógica defectuosa en el módulo de autorización. Una vez establecida la sesión, pueden usar herramientas estándar de movimiento lateral, como ssh o psExec, para escalar privilegios.

En la cadena de explotación, los operadores primero identifican un endpoint vulnerable mediante escaneo de puertos (por ejemplo, tcp/443 para Prisma Access). Luego, ejecutan un payload que fuerza la creación del túnel VPN, usando comandos similares a vpncli connect --profile vulnerable. Finalmente, despliegan ransomware o establecen canales de C2 dentro de la red interna.

“La vulnerabilidad permite un bypass de autenticación y la creación de túneles VPN no autorizados”, señaló Palo Alto Networks en su comunicado.

Impacto y alcance

La vulnerabilidad descubierta en los firewalls de Palo Alto permite a los atacantes eludir la autenticación multifactor (MFA) y obtener acceso privilegiado a redes corporativas. Este vector de ataque ha sido aprovechado por los grupos Qilin e INC para comprometer entornos que dependen de la solución de seguridad de Palo Alto, lo que afecta a organizaciones que utilizan estos dispositivos como parte de su arquitectura de defensa perimetral.

Los sectores más expuestos incluyen servicios financieros, salud, telecomunicaciones y entidades gubernamentales, ya que suelen emplear MFA como capa adicional de protección. Hasta la fecha, no se ha divulgado un exploit público que automatice el proceso, pero la información de la vulnerabilidad está disponible en fuentes de inteligencia de amenazas, lo que permite a actores con conocimientos avanzados reproducir el ataque de forma manual.

¿Cómo afecta esto a LATAM?

En América Latina, muchas empresas y organismos públicos han adoptado la plataforma de Palo Alto como estándar de seguridad de red. La exposición de la vulnerabilidad implica que organizaciones en México, Colombia, Argentina y otros países de la región deben revisar sus configuraciones y validar que sus dispositivos estén actualizados con los parches emitidos por el fabricante.

Además, la interconexión de proveedores de servicios y la creciente dependencia de la nube hacen que una brecha en una infraestructura crítica pueda repercutir en socios y clientes locales, ampliando el riesgo más allá de la entidad directamente comprometida.

Qué deben hacer los equipos de seguridad

  • Aplicar inmediatamente los parches y actualizaciones de firmware publicados por Palo Alto para mitigar la vulnerabilidad.
  • Revisar y reforzar las políticas de MFA, asegurándose de que los métodos de autenticación secundaria no dependan exclusivamente de la infraestructura vulnerable.
  • Realizar auditorías de logs y eventos de autenticación para detectar intentos de bypass o actividades sospechosas relacionadas con la vulnerabilidad.
  • Implementar monitoreo continuo de indicadores de compromiso (IOC) asociados a los grupos Qilin e INC, incluyendo firmas de detección y reglas de correlación.
  • Actualizar las listas de control de acceso (ACL) y segmentar la red para limitar el movimiento lateral en caso de que un atacante logre eludir MFA.
  • Capacitar al personal de operaciones y respuesta a incidentes sobre los métodos de explotación conocidos, para acelerar la detección y contención.

Reflexión

Si la confianza en una sola capa de defensa puede ser socavada por un fallo técnico, ¿qué tan preparados estamos realmente para enfrentar ataques que combinan vulnerabilidades de software con tácticas de ingeniería social? La respuesta a esa pregunta determinará si la seguridad de nuestras infraestructuras seguirá siendo una ilusión o una realidad sostenible en el futuro.