Palo Alto Networks ha alertado sobre la continua explotación activa de una vulnerabilidad de seguridad, ya parcheada, que afecta a sus productos PAN-OS y Prisma Access. Los grupos de ransomware Qilin y INC son los principales actores detrás de estos ataques, dirigidos a organizaciones de diversos sectores.
La vulnerabilidad en cuestión es la CVE-2026-0257, con una puntuación CVSS de 7.8, identificada como una falla de bypass de autenticación. Esta permite a los atacantes establecer conexiones VPN no autorizadas y, lo que es crítico, eludir los controles de autenticación multifactor (MFA), una capa fundamental en la protección de la identidad de los usuarios. La falla fue corregida por Palo Alto Networks en mayo de 2026 y añadida al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de la CISA de EE. UU. poco después.
Una vez que logran el acceso inicial a la red corporativa y eluden el MFA, los atacantes proceden con una serie de actividades maliciosas. Esto incluye el reconocimiento interno de la red utilizando herramientas de monitoreo y gestión remota (RMM), el movimiento lateral a través de RDP y SMB, y la preparación de herramientas adicionales para la recolección de credenciales, la exfiltración de datos y el despliegue final del ransomware. Es preocupante la evolución táctica hacia la capa de virtualización, donde los atacantes deshabilitan controles de seguridad en hipervisores ESXi y utilizan herramientas personalizadas para volcar credenciales directamente de discos virtuales (VMDK) de controladores de dominio, evadiendo las protecciones de los sistemas de detección y respuesta en endpoints (EDR).
Ante esta amenaza, Palo Alto Networks recomienda encarecidamente la aplicación inmediata de los parches más recientes. Además, es crucial que las organizaciones realicen una búsqueda proactiva de indicadores de compromiso e inicien los protocolos de respuesta a incidentes adecuados si se detectan eventos sospechosos en las pasarelas de VPN.
Qué significa para tu empresa: La capacidad de los atacantes para evadir el MFA y sortear las defensas de EDR subraya la importancia de una estrategia de seguridad robusta y multicapa. Un SOC con monitoreo 24/7 es esencial para detectar patrones de ataque, identificar movimientos laterales y responder rápidamente a incidentes, incluso cuando las defensas tradicionales son superadas, mitigando el riesgo de un impacto devastador por ransomware.
Fuente original: The Hacker News — ver artículo →