Los atacantes del ransomware Qilin han sido observados explotando una vulnerabilidad crítica en el software PAN-OS de Palo Alto Networks para obtener acceso inicial a las redes de sus víctimas y desplegar su malware. Esta amenaza afecta a organizaciones que utilizan los dispositivos de seguridad de Palo Alto Networks con versiones vulnerables de PAN-OS.
La vulnerabilidad, identificada como CVE-2026-0257 con una puntuación CVSS de 7.8 (riesgo alto), es un bypass de autenticación que afecta los componentes de portal y gateway del software PAN-OS. Su explotación exitosa permite a atacantes remotos no autenticados eludir la verificación de credenciales y establecer sesiones VPN sin autorización, especialmente si las cookies de anulación de autenticación están habilitadas con configuraciones de certificado específicas.
Una vez dentro, los actores de amenazas, operando bajo el modelo de Ransomware-as-a-Service (RaaS), realizan diversas actividades maliciosas. Esto incluye la recolección de credenciales, movimiento lateral a través de recursos compartidos administrativos de Windows usando PsExec, y la desactivación de protecciones como Microsoft Defender Real-Time Protection. También borran los registros de eventos para evitar ser detectados y dificultar la investigación forense. Los ataques varían desde el cifrado de datos hasta la doble extorsión, que implica la exfiltración de información sensible a servicios en la nube como MEGA o Proton Drive antes del despliegue del ransomware.
Es fundamental que las organizaciones que utilizan Palo Alto Networks PAN-OS confirmen que han aplicado el parche de seguridad para CVE-2026-0257. Dado que la vulnerabilidad ya está corregida, la acción inmediata es verificar la actualización de todos los sistemas afectados. Adicionalmente, se recomienda revisar las configuraciones de seguridad del portal y gateway de PAN-OS, así como implementar monitoreo proactivo para detectar actividades anómalas que puedan indicar una explotación previa o intentos futuros.
Qué significa para tu empresa: Este incidente subraya la criticidad de mantener los dispositivos perimetrales actualizados y de tener una visibilidad profunda de lo que sucede en su red. Una vulnerabilidad en un firewall, diseñado para ser la primera línea de defensa, puede ser el punto de entrada para un ataque devastador como el ransomware Qilin. Es por ello que un SOC con monitoreo 24/7 es esencial, no solo para la detección temprana de exploits como este, sino para observar comportamientos post-explotación, identificar movimientos laterales y exfiltración de datos, permitiendo una respuesta rápida incluso cuando los atacantes intentan borrar sus huellas.
Fuente original: The Hacker News — ver artículo →