{"id":1040,"date":"2026-06-01T22:35:42","date_gmt":"2026-06-01T22:35:42","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/01\/los-atacantes-estan-explotando-el-defecto-de-palo-alto-networks-que-inicialmente-paso-desapercibido\/"},"modified":"2026-06-01T22:35:42","modified_gmt":"2026-06-01T22:35:42","slug":"los-atacantes-estan-explotando-el-defecto-de-palo-alto-networks-que-inicialmente-paso-desapercibido","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/01\/los-atacantes-estan-explotando-el-defecto-de-palo-alto-networks-que-inicialmente-paso-desapercibido\/","title":{"rendered":"Los atacantes est\u00e1n explotando el defecto de Palo Alto Networks que inicialmente pas\u00f3 desapercibido"},"content":{"rendered":"<div>\n<p>Los investigadores y cazadores de amenazas est\u00e1n luchando para responder a una vulnerabilidad de omisi\u00f3n de autenticaci\u00f3n explotada activamente que afecta los firewalls de los clientes de Palo Alto Networks. <\/p>\n<p>La empresa inicialmente etiquetada <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/cve-2026-0257\">CVE-2026-0257<\/a> con una calificaci\u00f3n de gravedad media cuando <a href=\"https:\/\/security.paloaltonetworks.com\/CVE-2026-0257\">revel\u00f3 el defecto<\/a> 13 de mayo, pero r\u00e1pidamente lo reevalu\u00f3 como cr\u00edtico despu\u00e9s de que Rapid7 observara y confirmara la explotaci\u00f3n activa en la naturaleza. La Agencia de Seguridad de Infraestructura y Ciberseguridad hizo lo mismo y agreg\u00f3 la vulnerabilidad a su <a href=\"https:\/\/www.cisa.gov\/news-events\/alerts\/2026\/05\/29\/cisa-adds-one-known-exploited-vulnerability-catalog\">cat\u00e1logo de vulnerabilidades explotadas conocidas<\/a> Viernes.<\/p>\n<p>La creciente amenaza que representa el defecto, que permite a atacantes remotos eludir las restricciones de seguridad y establecer una conexi\u00f3n VPN a un firewall afectado, muestra cu\u00e1n r\u00e1pidamente una vulnerabilidad aparentemente leve puede convertirse en una advertencia urgente. <\/p>\n<p>\u00abPalo Alto Networks est\u00e1 monitoreando activamente los intentos de explotaci\u00f3n limitados dirigidos a CVE-2026-0257 en dispositivos PAN-OS sin parches donde no se han aplicado mitigaciones\u00bb, dijo un portavoz de la compa\u00f1\u00eda en un comunicado. El viernes, la compa\u00f1\u00eda inst\u00f3 a todos los clientes a aplicar inmediatamente el parche o seguir los pasos recomendados para la mitigaci\u00f3n. <\/p>\n<p>El proveedor y Rapid7, que observaron la explotaci\u00f3n por primera vez el 17 de mayo en un entorno de cliente, se negaron a decir cu\u00e1ntas organizaciones se han visto afectadas hasta el momento. Sin embargo, Douglas McKee, director de inteligencia de vulnerabilidades de Rapid7, advirti\u00f3: \u00abHemos seguido viendo llegar nuevas v\u00edctimas, incluido un par de clientes atacados con s\u00f3lo una hora de diferencia durante una segunda ola de actividad\u00bb el 21 de mayo. <\/p>\n<p>Jake Knott, investigador de seguridad de watchTowr, dijo a CyberScoop que la vulnerabilidad y los exploits resultantes siguen una tendencia recurrente en la que los atacantes apuntan a dispositivos expuestos en el borde de la red e identifican, desarrollan y utilizan r\u00e1pidamente exploits para el acceso inicial. <\/p>\n<p>\u00ab\u00c9sta es otra omisi\u00f3n de autenticaci\u00f3n en un dispositivo cuyo \u00fanico trabajo es proteger la puerta de entrada a la red de una organizaci\u00f3n\u00bb, dijo. \u00abLo que destaca es lo simple que es: un atacante puede falsificar una cookie de autenticaci\u00f3n v\u00e1lida utilizando nada m\u00e1s que el certificado TLS disponible p\u00fablicamente del dispositivo. Todo el exploit es una \u00fanica solicitud HTTP\u00bb.<\/p>\n<p>La vulnerabilidad tiene algunos requisitos que limitan la exposici\u00f3n, espec\u00edficamente representa un riesgo para algunos clientes de Palo Alto Networks que ejecutan el portal o puerta de enlace GlobalProtect configurado para permitir la anulaci\u00f3n de cookies de autenticaci\u00f3n. <\/p>\n<p>\u00abEl certificado de cifrado y descifrado de cookies debe reutilizarse con otra caracter\u00edstica, que potencialmente exponga la clave p\u00fablica de ese certificado\u00bb, dijo Caitlin Condon, vicepresidenta de investigaci\u00f3n de seguridad de VulnCheck.<\/p>\n<p>\u00abEs dif\u00edcil decir cu\u00e1ntas implementaciones cumplen con esos criterios de explotabilidad, pero los firewalls de Palo Alto Networks tienen una huella muy grande, lo que significa que incluso las configuraciones poco comunes pueden presentar una superficie de ataque significativa\u00bb, agreg\u00f3.<\/p>\n<p>Rapid7 dijo que el mismo atacante o grupo probablemente sea responsable de ambas oleadas de explotaci\u00f3n el mes pasado, pero en muchos casos los atacantes no establecen una conexi\u00f3n VPN completa ni se mueven a otras partes de la red afectada. <\/p>\n<p>Los atacantes son \u00abaltamente oportunistas y claramente monitorean a la comunidad de investigaci\u00f3n de seguridad\u00bb, dijo McKee. \u00abLos atacantes est\u00e1n utilizando deliberadamente como arma las vulnerabilidades de gravedad media, que suelen ser puntos ciegos o de menor prioridad para las organizaciones\u00bb.<\/p>\n<p>M\u00faltiples grupos de amenazas est\u00e1n aprovechando la oportunidad y adapt\u00e1ndose r\u00e1pidamente a ella. <a href=\"https:\/\/www.rapid7.com\/blog\/post\/etr-rapid7-observed-exploitation-of-pan-os-globalprotect-authentication-bypass-vulnerability-cve-2026-0257\/\">investigaci\u00f3n publicada<\/a>. Los investigadores no han atribuido la actividad maliciosa a ning\u00fan grupo de amenazas espec\u00edfico. <\/p>\n<p>\u00abSus or\u00edgenes exactos y objetivos a largo plazo siguen sin estar claros, ya que actualmente parecen centrarse puramente en un acceso inicial oportunista en lugar de un espionaje dirigido a largo plazo\u00bb, dijo McKee. <\/p>\n<p>Palo Alto Networks dijo que descubri\u00f3 la vulnerabilidad internamente mediante el uso de herramientas de inteligencia artificial de vanguardia. Sin embargo, a los pocos d\u00edas de su divulgaci\u00f3n p\u00fablica, las evaluaciones iniciales resultaron inadecuadas.<\/p>\n<p>\u00abEste es un patr\u00f3n que seguimos viendo: la urgencia s\u00f3lo llega despu\u00e9s de que la explotaci\u00f3n ya est\u00e1 en marcha\u00bb, dijo Knott. \u00abLas organizaciones que esperan la confirmaci\u00f3n de la explotaci\u00f3n activa antes de aplicar el parche siempre reaccionar\u00e1n demasiado tarde\u00bb.<\/p>\n<footer class=\"single-article__footer\">\n<div class=\"author-card\">\n<div class=\"author-card__avatar\">\n<figure class=\"author-card__image-wrap\">\n\t\t\t\t\t<img decoding=\"async\" class=\"author-card__image\" src=\"https:\/\/cyberscoop.com\/wp-content\/uploads\/sites\/3\/2025\/02\/MattKapko.jpg?w=150&amp;h=150&amp;crop=1\" alt=\"Matt Kapko\"\/><br \/>\n\t\t\t\t<\/figure>\n<\/p><\/div>\n<p><h4 class=\"author-card__name\">Escrito por Matt Kapko<\/h4>\n<p>\t\t\tMatt Kapko es reportero de CyberScoop. Su \u00e1mbito incluye delitos cibern\u00e9ticos, ransomware, defectos de software y (mala) gesti\u00f3n de vulnerabilidades. El californiano de toda la vida comenz\u00f3 su carrera period\u00edstica en 2001 con paradas anteriores en Cybersecurity Dive, CIO, SDxCentral y RCR Wireless News. Matt tiene una licenciatura en periodismo e historia de la Universidad Estatal de Humboldt.\t\t<\/p>\n<\/p><\/div>\n<\/footer><\/div>\n","protected":false},"excerpt":{"rendered":"<p>Los investigadores y cazadores de amenazas est\u00e1n luchando para responder a una vulnerabilidad de omisi\u00f3n de autenticaci\u00f3n explotada activamente que afecta los firewalls de los clientes de Palo Alto Networks. La empresa inicialmente etiquetada CVE-2026-0257 con una calificaci\u00f3n de gravedad media cuando revel\u00f3 el defecto 13 de mayo, pero r\u00e1pidamente lo reevalu\u00f3 como cr\u00edtico despu\u00e9s [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":781,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2],"tags":[2313,151,406,2840,433,897,2839,52,2838,2312,184],"class_list":["post-1040","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-latest","tag-alto","tag-atacantes","tag-defecto","tag-desapercibido","tag-estan","tag-explotando","tag-inicialmente","tag-los","tag-networks","tag-palo","tag-paso"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1040","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1040"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1040\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/781"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1040"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1040"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1040"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}