ESTOY BAJO UN CIBER ATAQUE

Alerta

Logo de Palo Alto Networks

Alerta 2026-160 Actualizaciones de noviembre en PAN-OS, GlobalProtect y Prisma

Producto(s) afectado(s): 

ProductoVersiones afectadas
PAN-OS (firewalls)12.2, 12.1, 11.2 y 11.1 anteriores a los hotfix de este lote; en CVE-2026-0331, 0330, 0329 y 0328 también 10.2. Los avisos 0327, 0326 y 0325 no listan la rama 10.2.
PanoramaAfectado por CVE-2026-0330. No afectado por 0331, 0329, 0328 y 0327. El aviso 0325 no lo menciona.
Cloud NGFWAfectado por 0331 y 0326. No afectado por 0330, 0329, 0328, 0327 y 0325.
Prisma AccessAfectado por 0331, 0329, 0327 y 0325. No afectado por 0330, 0328 y 0326.
GlobalProtect App en Windows6.3.0 a 6.3.3-h2 y 6.2.0 a 6.2.8-h3 (CVE-2026-0324). No afecta macOS, Linux, iOS, Android ni la app UWP.
Checkov by Prisma Cloud / Prisma BrowserCheckov: 2.0.1018 a 3.4.1 (CVE-2026-0323). Prisma Browser: versiones anteriores a las builds corregidas de PAN-SA-2026-0014.

Las versiones corregidas no coinciden en todos los avisos; el detalle por CVE está en la sección Solución.

Descripción

Se han publicado diez avisos de seguridad de Palo Alto Networks, difundidos el 11/11/2026 a las 14:00 (PYT), todos en revisión inicial. Ninguno está calificado como crítico. El grupo principal afecta a PAN-OS; en la misma tanda salen avisos de GlobalProtect App en Windows, Checkov by Prisma Cloud y la actualización mensual de Chromium en Prisma Browser. Los puntajes que se indican son CVSS 4.0 del fabricante, en la cifra publicada (CVSS-BT). El único aviso de severidad alta es el rollup de Chromium en Prisma Browser, que no es una falla propia de PAN-OS.

AvisoCVSS 4.0ProductoQué es
CVE-2026-03316.6, mediaPAN-OS (dataplane); también Cloud NGFW y Prisma AccessDivulgación de información sensible, sin autenticación
CVE-2026-03306.1, mediaPAN-OS solo en PanoramaEjecución remota de código autenticada, como root
CVE-2026-03294.6, mediaPAN-OS (dataplane); también Prisma AccessDesbordamiento de búfer / denegación de servicio, con condiciones
CVE-2026-03245.9, mediaGlobalProtect App en WindowsEscalada local a SYSTEM vía el SDK de OPSWAT
PAN-SA-2026-00147.7, altaPrisma BrowserActualización mensual de Chromium (noviembre 2026)
CVE-2026-03282.7, bajaPAN-OS (portal y gateway de GlobalProtect)Bypass de autenticación; solo si se permiten clientes VPN de terceros
CVE-2026-03272.3, bajaPAN-OS (gateway GlobalProtect) y Prisma AccessEscalada de privilegios; el aviso no lista 10.2
CVE-2026-03261.7, bajaPAN-OS y Cloud NGFWDesbordamiento en el procesamiento de protocolos; el aviso no lista 10.2
CVE-2026-03251.3, bajaPAN-OS (gateway GlobalProtect) y Prisma AccessBypass de autorización; el aviso no lista 10.2 ni menciona Panorama
CVE-2026-03231.1, bajaCheckov by Prisma CloudSSRF local, con configuración específica

CVE-2026-0331, con CVSS 4.0 6.6, media, permite a un atacante remoto sin autenticación obtener información sensible del firewall y de las sesiones enviando tráfico hacia o a través de una interfaz del dataplane. No hace falta una configuración especial y no hay soluciones alternativas conocidas. Panorama no está afectado. Cloud NGFW sí (el fabricante la considera de gravedad baja en ese producto) y Prisma Access también (en Prisma Access el puntaje publicado es 4.6, media). El fabricante actualizará Prisma Access y Cloud NGFW en el próximo ciclo de mantenimiento; quien lo necesite antes puede coordinar una ventana con el soporte o su cuenta.

CVE-2026-0330, con CVSS 4.0 6.1, media, permite a un administrador ya autenticado, con acceso de red, ejecutar código arbitrario con privilegios de root en Panorama. No es una ejecución remota de código sin autenticación y no afecta a los firewalls autónomos de PAN-OS, ni a Cloud NGFW ni a Prisma Access. El puntaje base (CVSS-B 8.6) es más alto; no se usa aquí para subir la gravedad que publica el fabricante. El riesgo, según el proveedor, se reduce de forma significativa si la interfaz de gestión queda limitada a direcciones internas de confianza, de acuerdo con sus prácticas recomendadas; esa restricción no es un workaround oficial. El aviso declara que no hay soluciones alternativas conocidas. Con suscripción Threat Prevention hay cobertura limitada habilitando los Threat ID 510045 y 510048 (contenido Applications and Threats 9171-10349 o posterior); esas firmas requieren descifrado SSL. El fabricante recomienda remediar cuanto antes si la gestión es accesible desde Internet.

CVE-2026-0329, con CVSS 4.0 4.6, media, es un desbordamiento de búfer que permite a un atacante no autenticado provocar una denegación de servicio en el dataplane, pero solo si se cumple una de estas condiciones: un IKE Gateway activo usa autenticación basada en certificados con comprobación de revocación CRL u OCSP habilitada, o hay un objeto DNS Proxy configurado y habilitado. Cloud NGFW y Panorama no están afectados. Prisma Access sí (el fabricante la considera de gravedad baja en ese producto) y se actualiza en el próximo ciclo de mantenimiento. Se puede mitigar desactivando esas comprobaciones y el DNS Proxy, y hay cobertura limitada con los Threat ID 510051 y 510052 (mismo contenido 9171-10349 o posterior, con requisitos adicionales y descifrado SSL).

El mismo lote corrige cuatro fallas de gravedad baja en GlobalProtect y en el procesamiento de protocolos. CVE-2026-0328 (2.7, baja) es un bypass de autenticación en el portal y el gateway de GlobalProtect que puede permitir establecer una conexión VPN no autorizada; solo afecta a quien habilita clientes VPN de terceros, no a quien usa únicamente el cliente GlobalProtect o Prisma Access Agent, y comparte la matriz de hotfix de 0331, 0330 y 0329 (incluye 10.2). CVE-2026-0327 (2.3, baja) permite a un usuario autenticado de menor privilegio obtener los de uno de mayor privilegio cuando el perfil de autenticación del gateway usa RADIUS y emite un desafío. CVE-2026-0326 (1.7, baja) puede interrumpir el procesamiento de un servicio si está habilitado SCTP, un DNS Proxy o OSPFv3 en una interfaz IPv6; Cloud NGFW está afectado. CVE-2026-0325 (1.3, baja) permite a un usuario autenticado con credenciales válidas de GlobalProtect eludir restricciones basadas en la IP de origen. Los avisos 0327, 0326 y 0325 no listan PAN-OS 10.2; eso no equivale a declarar esa rama fuera de riesgo. En 0327 y 0325, Prisma Access 11.2 está afectada en todas las versiones y la corrección es pasar a 12.1.10-h4 o posterior.

CVE-2026-0324, con CVSS 4.0 5.9, media, es una escalada local a NT AUTHORITY\SYSTEM en el SDK OPSWAT MetaDefender que usa GlobalProtect App en Windows, para un usuario local autenticado sin privilegios de administrador. No hay soluciones alternativas. Se corrige en GlobalProtect App 6.3.3-h3 (6.3.3-711) o 6.2.8-h4 (6.2.8-317), o posterior. CVE-2026-0323, con CVSS 4.0 1.1, baja, es un SSRF en Checkov by Prisma Cloud que solo aplica si se descargan módulos externos de Terraform y se analizan configuraciones de fuentes no confiables; la tabla de Solución indica 2.0.1018 a 3.4.1, corregida en 3.4.2 o posterior (el bloque CPE de la ficha y el registro CVE usan rangos distintos; aquí se sigue la tabla de Solución). PAN-SA-2026-0014 incorpora correcciones de Chromium en Prisma Browser, con CVSS 4.0 7.7, alta; para cubrir las builds de la tabla de Solución del aviso, conviene actualizar a 157.19.4.39 o posterior. La ficha presenta discrepancias de rangos entre el estado de producto, esa tabla y el CPE.

El fabricante no informa explotación maliciosa de estos diez avisos y los etiqueta con madurez de explotación no reportada. No se identificó una prueba de concepto pública. Estas fallas no figuran, al 11/11/2026, en catálogos de vulnerabilidades explotadas conocidas. Son distintas de un aviso anterior del mismo fabricante, del 15/10/2026 (CVE-2026-0322), que no forma parte de este lote. También son distintas de las cubiertas en la alerta 2026-125 (Brotli y PHP2Shell, del 26/10/2026): los hotfix de hoy son el incremento siguiente (por ejemplo, 12.2.4-h2 frente a 12.2.4-h1) y quien ya aplicó los de aquella alerta todavía necesita estos. El 10/11/2026 el fabricante publicó además CVE-2026-0250, un aviso aparte de GlobalProtect App, que no forma parte de estos diez.

Mitigación

Se recomienda inventariar firewalls PAN-OS, Panorama, Prisma Access, Cloud NGFW, clientes GlobalProtect en Windows, Checkov y Prisma Browser, anotar la rama y la build exacta, y aplicar el hotfix o la versión del aviso que corresponda: no asumir un único número por familia.

  • En Panorama (CVE-2026-0330): restringir la gestión a direcciones internas de confianza o a un jump box, como práctica recomendada del fabricante —no como workaround oficial— y, con suscripción Threat Prevention, habilitar los Threat ID 510045 y 510048 (contenido 9171-10349 o posterior, con descifrado SSL).
  • En CVE-2026-0329, si aplica la configuración: desactivar Use CRL y Use OCSP en el Certificate Profile del IKE Gateway activo y deshabilitar los objetos DNS Proxy; luego Commit. Las firmas 510051 y 510052 ofrecen cobertura limitada, con los requisitos adicionales que indica el aviso y con descifrado SSL.
  • En CVE-2026-0327: cambiar el perfil de autenticación a uno sin desafío (por ejemplo, SAML) o exigir certificado de cliente, hasta actualizar.
  • En CVE-2026-0326: quitar el perfil SCTP Protection de las reglas que permiten SCTP; deshabilitar DNS Proxy; en OSPFv3, usar autenticación criptográfica distinta de ESP-NULL, según corresponda.
  • En CVE-2026-0325: reducir la exposición a Internet de GlobalProtect (políticas DoS, restricciones por país y listas de bloqueo), según la guía del fabricante. Eso no sustituye al parche.
  • En CVE-2026-0328 no hay workaround: priorizar el parche si se permiten clientes VPN de terceros.
  • En CVE-2026-0331, CVE-2026-0324 y PAN-SA-2026-0014 no hay workaround: actualizar.
  • En Checkov (CVE-2026-0323): no analizar contenido no confiable y evitar la descarga de módulos externos hasta estar en 3.4.2; pasar la configuración de forma explícita por un archivo de confianza.
  • Prisma Access y Cloud NGFW, donde estén afectados: el fabricante aplicará la actualización en el próximo mantenimiento; se puede pedir una ventana anticipada.

Estas medidas no reemplazan la actualización. El parche no deshace un compromiso previo.

Detección

El fabricante no publicó indicadores de compromiso.

Solución

La solución consiste en actualizar cada producto a la versión corregida de su rama, o superior, según el aviso que aplique, priorizando Panorama con la gestión expuesta (CVE-2026-0330), los firewalls con el dataplane alcanzable (CVE-2026-0331 y, si aplica la configuración, CVE-2026-0329) y los clientes GlobalProtect en Windows (CVE-2026-0324). Se recomienda respaldar la configuración antes de actualizar PAN-OS y seguir la ruta de hotfix de la rama y la minor en uso, sin saltar de intervalo sin consultar la tabla del aviso. Las versiones no soportadas deben pasar a una rama soportada ya corregida.

PAN-OS — matriz común (CVE-2026-0331, 0330, 0329 y 0328)

Estas cuatro comparten la misma matriz. No aplicarla a CVE-2026-0327, 0326 ni 0325.

RamaAfectadas (resumen)Corrección (elegir según la minor)
PAN-OS 12.2Anteriores a 12.2.4-h212.2.4-h2 o posterior
PAN-OS 12.1Anteriores a 12.1.4-h14, 12.1.7-h12 o 12.1.10-h412.1.10-h4 (12.1.8–12.1.10-h*); 12.1.7-h12 (12.1.5–12.1.7-h*); 12.1.4-h14 (12.1.2–12.1.4-h*)
PAN-OS 11.2Anteriores a 11.2.4-h24, 11.2.7-h24, 11.2.10-h18, 11.2.13-h5 o 11.2.16-h211.2.16-h2 (11.2.15–11.2.16-h*); 11.2.13-h5 o 11.2.16-h2 (11.2.11–11.2.13-h*); 11.2.10-h18 o 11.2.16-h2 (11.2.8–11.2.10-h*); 11.2.7-h24 o 11.2.16-h2 (11.2.5–11.2.7-h*); 11.2.4-h24 o 11.2.16-h2 (11.2.0–11.2.4-h*)
PAN-OS 11.1Anteriores a 11.1.4-h39, 11.1.6-h41, 11.1.7-h13, 11.1.10-h37, 11.1.13-h17 o 11.1.16-h511.1.16-h5 (11.1.14–11.1.16-h*); 11.1.13-h17 o 11.1.16-h5 (11.1.11–11.1.13-h*); 11.1.10-h37 o 11.1.16-h5 (11.1.8–11.1.10-h*); 11.1.7-h13 o 11.1.16-h5 (11.1.7–11.1.7-h*); 11.1.6-h41 o 11.1.16-h5 (11.1.5–11.1.6-h*); 11.1.4-h39 o 11.1.16-h5 (11.1.0–11.1.4-h*)
PAN-OS 10.2Anteriores a 10.2.7-h40, 10.2.10-h43, 10.2.13-h28, 10.2.16-h13 o 10.2.18-h1410.2.18-h14 (10.2.17–10.2.18-h*); 10.2.16-h13 o 10.2.18-h14 (10.2.14–10.2.16-h*); 10.2.13-h28 o 10.2.18-h14 (10.2.11–10.2.13-h*); 10.2.10-h43 o 10.2.18-h14 (10.2.8–10.2.10-h*); 10.2.7-h40 o 10.2.18-h14 (10.2.0–10.2.7-h*)

PAN-OS — CVE-2026-0327, 0326 y 0325 (el aviso no lista 10.2)

ProductoAfectadasCorregida en
PAN-OS 12.212.2.0 a 12.2.4-h*12.2.4-h2 o posterior
PAN-OS 12.10327 y 0325: 12.1.2 a 12.1.10-h*; 0326: 12.1.0 a 12.1.10-h*12.1.10-h4 o posterior
PAN-OS 11.211.2.0 a 11.2.16-h*11.2.16-h2 o posterior
PAN-OS 11.111.1.0 a 11.1.16-h*11.1.16-h5 o posterior
Prisma Access 12.1 (0327 y 0325)Anteriores a 12.1.10-h412.1.10-h4 o posterior
Prisma Access 11.2 (0327 y 0325)Todas las versionesPasar a 12.1.10-h4 o posterior

GlobalProtect App, Checkov y Prisma Browser

ProductoAfectadasCorregida en
GlobalProtect App 6.3 (Windows)6.3.0 a 6.3.3-h26.3.3-h3 (6.3.3-711) o posterior
GlobalProtect App 6.2 (Windows)6.2.0 a 6.2.8-h36.2.8-h4 (6.2.8-317) o posterior
Checkov by Prisma Cloud2.0.1018 a 3.4.13.4.2 o posterior
Prisma BrowserVer discrepancias de rangos en la ficha157.19.4.39 o posterior

Para info sobre cómo actualizar, visita el siguiente enlace:

https://security.paloaltonetworks.com

Información adicional: