CVE-2026-0300: Día Cero de Palo Alto PAN-OS Permite RCE con Privilegios de Root en Cortafuegos Expuestos

Los dispositivos de seguridad perimetral siguen siendo objetivos de alto valor, especialmente cuando una vulnerabilidad puede ser explotada antes de que un parche esté ampliamente disponible. La vulnerabilidad CVE-2026-0300 es un desbordamiento de búfer crítico en el Portal de Autenticación de User-ID, también conocido como Portal Cautivo, en PAN-OS de Palo Alto Networks. Palo Alto la califica con 9.3/10 cuando el portal está expuesto a internet u otras redes no confiables, y afirma que un atacante no autenticado puede ejecutar código arbitrario con privilegios de root en firewalls afectados de las series PA y VM al enviar paquetes especialmente diseñados.

Para los equipos que comienzan el análisis CVE-2026-0300, los detalles más importantes son las condiciones de exposición: el problema solo se aplica cuando el Portal de Autenticación de User-ID está habilitado, y Palo Alto dice que el riesgo se reduce considerablemente cuando el acceso se limita a direcciones IP internas de confianza. La compañía también dice que ya se ha observado una explotación limitada contra portales expuestos a espacios IP no confiables o a internet público.

En la práctica, CVE-2026-0300 afecta solo a firewalls de las series PA y VM configurados para usar el Portal de Autenticación de User-ID. Prisma Access, Cloud NGFW y Panorama no se ven afectados, lo que hace que la revisión de configuración sea tan importante como la revisión de versión al evaluar la exposición.

Análisis CVE-2026-0300

La vulnerabilidad en CVE-2026-0300 es un desbordamiento de búfer en el servicio del Portal de Autenticación de User-ID de PAN-OS. Según Palo Alto, la explotación no requiere credenciales ni interacción del usuario, y el objetivo del atacante es la ejecución remota de código como root a través de paquetes de red especialmente formulados. SecurityWeek describe de manera similar la falla como un zero-day usado para hackear algunos modelos de firewall, subrayando que este no es un problema teórico.

La carga útil CVE-2026-0300 descrita públicamente no es un archivo malicioso descargado al disco sino una secuencia de paquetes maliciosos enviados al componente del Portal Cautivo. Ni el aviso del proveedor ni los informes de medios citados incluyen un CVE-2026-0300 poc público, pero la explotación confirmada en la práctica significa que los defensores deben asumir que los actores de amenaza capacitados ya entienden las condiciones de activación lo suficientemente bien como para armarlas.

Desde un punto de vista de riesgo, la detección de CVE-2026-0300 debe centrarse en las instancias del Portal de Autenticación accesibles desde el exterior y en los signos de acceso intentado a ese servicio desde redes no confiables. El aviso de Palo Alto no publica iocs de CVE-2026-0300 a nivel de paquete, por lo que los defensores se beneficiarán más al identificar configuraciones de portal expuestas, restringiendo los rangos de IP de origen permitidas y priorizando los firewalls con acceso a internet para remediación.

Explorar Detecciones

Mitigación CVE-2026-0300

La mitigación efectiva de CVE-2026-0300 comienza reduciendo la exposición antes de que se implementen las correcciones. Palo Alto recomienda restringir el acceso al Portal de Autenticación de User-ID a zonas de confianza/direcciones IP internas o desactivar el portal por completo si no es necesario. Ese consejo es especialmente importante porque, al momento de la divulgación, la falla aún no estaba parcheada, con la primera ola de correcciones esperada para el 13 de mayo de 2026 y lanzamientos adicionales el 28 de mayo de 2026 para las versiones compatibles 12.1, 11.2, 11.1 y 10.2.

Para detectar exposición a CVE-2026-0300 en su entorno, verifique si la Configuración del Portal de Autenticación en Dispositivo > Identificación de Usuario tiene el portal habilitado y determine si es accesible desde internet o cualquier segmento de red no confiable. El aviso de Palo Alto deja claro que los clientes que siguen este modelo de endurecimiento están en un riesgo mucho menor comparado con implementaciones que dejan el servicio accesible públicamente.

Las organizaciones también deben mapear los firewalls afectados a las versiones corregidas por Palo Alto y preparar un plan de actualización tan pronto como la versión relevante esté disponible. Debido a que ya está en marcha una explotación limitada, este es un caso en que el endurecimiento de la configuración y el control de cambios de emergencia deben ocurrir en paralelo en lugar de esperar las ventanas de mantenimiento normales.