La seguridad de la infraestructura de red es un pilar inquebrantable en cualquier organización moderna. En este contexto, Palo Alto Networks ha lanzado una advertencia crítica que exige la atención inmediata de administradores de sistemas, ingenieros DevOps y especialistas en ciberseguridad. Se trata de dos vulnerabilidades de ejecución remota de código (RCE) en PHP, identificadas como CVE-2026-109618 y CVE-2026-109619, cuya explotación activa ha sido confirmada y que afectan directamente a un amplio espectro de productos basados en PAN-OS. La naturaleza de estas fallas permite a atacantes ejecutar código arbitrario, representando una amenaza de máxima urgencia para la integridad de los sistemas.
Análisis Técnico de las Vulnerabilidades Críticas
Las vulnerabilidades en cuestión se originan en el manejo de errores dentro de PHP, particularmente en la función longjmp(). Una comprensión técnica de estos fallos es fundamental para apreciar la magnitud del riesgo:
- CVE-2026-109618: Ejecución Remota de Código por Manejo Inadecuado de Errores de Memoria. Esta vulnerabilidad permite RCE debido a un flujo de control inadecuado cuando se manejan errores de «fuera de memoria» (Out-Of-Memory, OOM) a través de
longjmp(). El problema radica en que la memoria de la solicitud queda sin inicializar, lo que los atacantes pueden explotar de forma fiable utilizando disparadores OOM para conseguir RCE. - CVE-2026-109619: Ejecución Remota de Código por Punteros a Memoria Liberada. Similarmente, esta falla implica RCE cuando el manejo de errores fatales por
longjmp()deja la memoria global apuntando a regiones de memoria que ya han sido liberadas. Estas regiones pueden ser leídas o manipuladas en solicitudes posteriores, permitiendo a los atacantes ejecutar código arbitrario.
Ambas debilidades se clasifican bajo CWE-754 (Improper Check for Unusual or Exceptional Conditions) y pueden llevar a un CAPEC-153 (Input Data Manipulation), evidenciando una gestión deficiente de condiciones excepcionales y manipulación de datos de entrada que abren la puerta a ataques sofisticados.
Impacto y Alcance en Productos Palo Alto Networks
Palo Alto Networks ha evaluado el impacto en su portafolio de productos, confirmando que la problemática afecta principalmente a los sistemas operativos PAN-OS en los firewalls de las series PA y VM, así como en las plataformas Panorama (tanto virtuales como M-Series). La criticidad de estas vulnerabilidades se refleja en una puntuación CVSS de 9.2 (CRITICAL), subrayando la severidad del riesgo.
Es importante destacar que no se requiere una configuración especial para que un dispositivo sea vulnerable. El riesgo es máximo cuando se permite el acceso a la interfaz de gestión desde direcciones IP externas en internet. Se ha confirmado la explotación activa dirigida específicamente a estas interfaces de gestión expuestas.
Para mayor claridad, Palo Alto Networks ha especificado que los portales, gateways y VPN sin cliente de GlobalProtect™ no están afectados, ni tampoco el Captive Portal. Anteriormente, Cortex XCORE (SaaS) y WildFire Cloud fueron impactados, pero ya se desplegaron parches de remediación el 21 y 22 de octubre de 2026, respectivamente, según la información oficial de la compañía.
Estrategias de Mitigación y Solución
La respuesta ante estas vulnerabilidades debe ser proactiva e inmediata. Palo Alto Networks ha detallado una serie de acciones correctivas y preventivas:
1. Actualización de Software PAN-OS
La solución definitiva es la aplicación de parches de seguridad. Palo Alto Networks está lanzando versiones hotfix para las ramas de PAN-OS 10.2, 11.1, 11.2, 12.1 y 12.2. Se recomienda encarecidamente revisar el aviso de seguridad oficial de Palo Alto Networks (Unit 42) para obtener las versiones específicas y la ruta de actualización adecuada para cada implementación.
2. Medidas Preventivas y Workarounds
Mientras se aplican las actualizaciones, o como una capa adicional de defensa, se deben implementar las siguientes mitigaciones:
- Restricción de Acceso a la Interfaz de Gestión: Limite el acceso a la interfaz de gestión de PAN-OS y Panorama únicamente a direcciones IP internas de confianza, idealmente a través de un «jump box» o sistema de acceso seguro.
- Suscripción a Threat Prevention: Los clientes con una suscripción a Threat Prevention tienen cobertura a través de Threat IDs específicos (por ejemplo, 543004, 97622, etc.) en las versiones de contenido de Aplicaciones y Amenazas 9162, 9163, 9164 y posteriores. Asegúrese de que estas reglas estén activas y correctamente configuradas.
- Redirección de Tráfico: Enrute el tráfico entrante para el puerto de gestión (MGT) a través de un puerto de plano de datos (DP), habilitando un perfil de gestión en la interfaz DP.
- Gestión de Certificados: Reemplace el certificado para la gestión del tráfico entrante.
- Inspección de Tráfico Cifrado: Descifre el tráfico entrante a la interfaz de gestión para permitir que el firewall lo inspeccione y aplique las políticas de prevención de amenazas.
- Habilitar Prevención de Amenazas: Asegure que la prevención de amenazas esté habilitada en el tráfico entrante dirigido a los servicios de gestión.
Conclusión
Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 representan una amenaza crítica y de explotación activa que no puede ser ignorada. Dada la naturaleza de ejecución remota de código y la exposición de las interfaces de gestión, la falta de acción podría tener consecuencias devastadoras para la seguridad de la red. Es imperativo que los equipos de IT, DevOps y Ciberseguridad prioricen la revisión de sus implementaciones de Palo Alto Networks, apliquen las actualizaciones recomendadas sin demora y refuercen las mitigaciones de acceso a la gestión. Mantener la infraestructura parcheada y seguir las mejores prácticas de seguridad es el único camino para asegurar la resiliencia frente a ataques tan sofisticados.
