ESTOY BAJO UN CIBER ATAQUE

Alerta

Logo de Palo Alto Networks

Alerta 2026-125 Vulnerabilidades críticas en Palo Alto PAN-OS (Brotli y PHP2Shell)

Producto(s) afectado(s): 

ProductoFallaVersiones afectadas
PAN-OS 12.2 (PA-Series y VM-Series)Brotli y PHP2ShellAnteriores a 12.2.4-h1
PAN-OS 12.1 (PA-Series y VM-Series)Brotli y PHP2ShellAnteriores a 12.1.4-h13, 12.1.7-h11 y 12.1.10-h3, según la versión base
PAN-OS 11.2 (PA-Series y VM-Series)BrotliAnteriores a 11.2.4-h23, 11.2.7-h23, 11.2.10-h17, 11.2.13-h4 y 11.2.16-h1, según la versión base
PAN-OS 11.2 (PA-Series y VM-Series)PHP2ShellAnteriores a 11.2.4-h23, 11.2.7-h23, 11.2.10-h16, 11.2.13-h4 y 11.2.16-h1, según la versión base
PAN-OS 11.1 (PA-Series y VM-Series)PHP2ShellAnteriores a 11.1.4-h38, 11.1.6-h40, 11.1.7-h12, 11.1.10-h36, 11.1.13-h16 y 11.1.16-h4, según la versión base
PAN-OS 10.2 (PA-Series y VM-Series)PHP2ShellAnteriores a 10.2.7-h39, 10.2.10-h42, 10.2.13-h27, 10.2.16-h12 y 10.2.18-h13, según la versión base
Panorama (virtual y M-Series)PHP2ShellMismas versiones de PAN-OS indicadas para cada rama
Prisma Cloud Application Security Transporter ClientBrotliAnteriores a 0.2.9

Brotli solo afecta con inspección Brotli y descifrado TLS/SSL habilitados; PHP2Shell afecta a la interfaz web de gestión.

Descripción

Se han publicado dos vulnerabilidades críticas independientes que afectan a Palo Alto Networks PAN-OS: una en el decodificador de Brotli de Google (CVE-2026-111497) y otra en PHP, conocida como PHP2Shell (CVE-2026-109618 y CVE-2026-109619). La primera se alcanza a través del tráfico comprimido con Brotli que inspecciona el firewall; la segunda, a través de la interfaz web de gestión. Palo Alto Networks indicó que no tiene conocimiento de explotación maliciosa de ninguna de las dos.

Brotli (CVE-2026-111497)

El proveedor califica CVE-2026-111497 con CVSS v4.0 9.2 (crítica); se trata de una escritura fuera de límites (CWE-787) en el decodificador de Brotli (c/dec/decode.c). Un atacante remoto sin autenticación puede, mediante un flujo manipulado comprimido con Brotli, corromper la memoria del decodificador, divulgar contenido de memoria, provocar una denegación de servicio o, potencialmente, ejecutar código arbitrario. En PAN-OS aplica a los firewalls PA-Series y VM-Series que tienen habilitadas la inspección de tráfico comprimido con Brotli y el descifrado TLS/SSL en el dataplane. No afecta la interfaz de gestión (web ni API), ni a Panorama, ni a PAN-OS 11.1 y 10.2.

La inspección de Brotli no está soportada en PAN-OS 11.2.3 y anteriores y está deshabilitada por defecto desde PAN-OS 11.2.4, por lo que solo están expuestos los equipos en los que se habilitó. También está afectado Prisma Cloud Application Security Transporter Client anterior a 0.2.9. Los servicios SaaS de Palo Alto Networks ya fueron remediados por el proveedor y no requieren acción del cliente. Para más detalle sobre Brotli/Node2Shell, ver la Alerta 2026-124.

PHP2Shell (CVE-2026-109618 y CVE-2026-109619)

CVE-2026-109618 y CVE-2026-109619 son dos fallas de PHP en el manejo de errores fatales con longjmp() que, según el proveedor, permiten ejecución remota de código: en la primera, un error de falta de memoria deja memoria de la solicitud sin inicializar; en la segunda, la memoria global queda apuntando a regiones ya liberadas. PHP les asignó CVSS v4.0 9.2; Palo Alto Networks califica el impacto en sus productos con CVSS v4.0 8.7 (alta, con afectación de la disponibilidad) y señala que el riesgo es mayor cuando la gestión es accesible desde Internet.

En PAN-OS afectan a PA-Series, VM-Series y Panorama (virtual y M-Series) en las ramas 10.2, 11.1, 11.2, 12.1 y 12.2, sin requerir una configuración especial. La exposición se limita a la interfaz web de gestión (consola HTTPS y API XML); una interfaz del dataplane solo se ve afectada si tiene un perfil de gestión asociado. GlobalProtect (portal, gateway y Clientless VPN) y Captive Portal no están afectados. Para más detalle sobre PHP2Shell, ver la Alerta 2026-117.

Palo Alto Networks indicó que no tiene conocimiento de explotación maliciosa de estas vulnerabilidades. Las correcciones se están publicando de forma escalonada: algunos hotfix ya están disponibles y otros tienen solo una fecha estimada (ETA), según se detalla en la sección Solución.

Mitigación

Hasta que estén disponibles las versiones corregidas, Palo Alto Networks recomienda aplicar las siguientes medidas.

Brotli (CVE-2026-111497)

Deshabilitar la inspección de Brotli por CLI (PAN-OS 11.2.4 o superior):

set system setting brotli-encoding disable

Para verificar que quedó deshabilitada, ejecutar el siguiente comando y confirmar que la salida muestra Enabled: no:

show system setting brotli

O bien, por la interfaz web (PAN-OS 12.1.2 o superior):

  1. Ir a Device > Setup > Content-ID.
  2. En el panel Content-ID Settings, hacer clic en el ícono de edición.
  3. Desmarcar la opción Allow Brotli Encoding.
  4. Confirmar los cambios (commit).

Verificación de exposición

En PAN-OS 11.2.4 o superior, ejecutar show system setting brotli: el firewall solo está expuesto si la salida muestra Enabled: yes. En PAN-OS 12.1.2 o superior, revisar si Allow Brotli Encoding está marcada en Device > Setup > Content-ID.

Los clientes con suscripción de Threat Prevention cuentan con cobertura parcial al habilitar el Threat ID 97686 (contenido de Aplicaciones y Amenazas 9165 o posterior).

PHP2Shell (CVE-2026-109618 y CVE-2026-109619)

  • Restringir el acceso a la interfaz de gestión únicamente a direcciones IP internas de confianza, según las guías de mejores prácticas del proveedor; el riesgo se reduce aún más si el acceso se limita a un jump box que sea el único sistema autorizado.
  • Con suscripción de Threat Prevention, habilitar el Threat ID 543004 y las demás firmas indicadas por el proveedor (contenido de Aplicaciones y Amenazas 9162, 9163 o 9164 y posteriores). El Threat ID 543004 también está disponible para clientes con Frontier Virtual Patching (ATP Plus) en PAN-OS 12.2.4 o superior.
  • Para que esas firmas protejan, el tráfico entrante al puerto MGT debe pasar por un puerto del dataplane (por ejemplo, con un perfil de gestión en una interfaz del dataplane), se debe reemplazar el certificado del tráfico de gestión entrante, descifrar ese tráfico para que el firewall pueda inspeccionarlo y habilitar Threat Prevention sobre los servicios de gestión.

Estas medidas reducen el riesgo, pero no reemplazan la actualización a una versión corregida.

Solución

La solución consiste en actualizar cada firewall a la versión corregida de su rama, o posterior, priorizando los equipos con la gestión accesible desde redes no confiables o con Brotli habilitado. Las fechas indicadas como ETA son estimaciones del proveedor al 26/10/2026; esas versiones todavía no fueron publicadas y las fechas pueden cambiar, por lo que se recomienda revisar los avisos del proveedor. Para los equipos afectados por ambas fallas, conviene apuntar a la versión corregida de Brotli de la rama, que es igual o posterior a la de PHP2Shell.

Brotli (CVE-2026-111497)

RamaHotfix publicadoHotfix pendiente (ETA)
PAN-OS 12.2Ninguno12.2.4-h1 (28/10)
PAN-OS 12.1Ninguno12.1.4-h13 (29/10)
12.1.7-h11 (28/10)
12.1.10-h3 (30/10)
PAN-OS 11.2Ninguno11.2.4-h23 (30/10)
11.2.7-h23 (29/10)
11.2.10-h17 (27/10)
11.2.13-h4 (27/10)
11.2.16-h1 (28/10)
Prisma Cloud Application Security Transporter Client0.2.9—

PAN-OS 11.1, PAN-OS 10.2 y Panorama no están afectados por esta falla.

PHP2Shell (CVE-2026-109618 y CVE-2026-109619)

RamaHotfix publicadoHotfix pendiente (ETA)
PAN-OS 12.2Ninguno12.2.4-h1 (28/10)
PAN-OS 12.1Ninguno12.1.4-h13 (29/10)
12.1.7-h11 (28/10)
12.1.10-h3 (30/10)
PAN-OS 11.211.2.10-h1611.2.4-h23 (30/10)
11.2.7-h23 (29/10)
11.2.13-h4 (27/10)
11.2.16-h1 (28/10)
PAN-OS 11.111.1.4-h38
11.1.6-h40
11.1.10-h36
11.1.13-h16
11.1.16-h4		11.1.7-h12 (30/10)
PAN-OS 10.210.2.18-h1310.2.7-h39 (30/10)
10.2.10-h42 (29/10)
10.2.13-h27 (27/10)
10.2.16-h12 (28/10)

Las versiones corresponden a PAN-OS y aplican a firewalls PA-Series, VM-Series y a Panorama.

Información adicional: