Qué pasó
- Unit 42, de Palo Alto Networks, publicó el 20 de octubre de 2026 su alerta sobre la explotación activa de CVE-2026-0257, una omisión de autenticación en los componentes portal y gateway de GlobalProtect, el servicio de VPN de PAN-OS.
- Al 19 de octubre, operadores de ransomware intentaban explotarla, entre ellos Qilin (Spikey Scorpius) e Inc (Tarnished Scorpius). Reportes públicos suman a Settra.
- Los atacantes saltan el segundo factor para abrir sesiones de VPN, hacen reconocimiento con herramientas de administración remota y se mueven por RDP y SMB.
- En un caso pasaron del gateway al appliance vCenter, desactivaron el control execInstalledOnly de ESXi y extrajeron credenciales desde el disco virtual de un controlador de dominio.
Por qué importa
- El segundo factor es la defensa en la que más se confía en una VPN. Si la falla lo evita, una contraseña filtrada deja de ser el único problema: el acceso se abre sin que salte una alerta.
- Para bancos, clínicas y municipios chilenos que usan GlobalProtect, la pregunta inmediata es la versión instalada y si el parche está aplicado. La alerta no lista versiones afectadas y remite al aviso del fabricante.
- La falla está desde el 13 de mayo en el catálogo de vulnerabilidades explotadas del organismo de ciberseguridad de EE.UU. (CISA), así que quien aún no parchó lleva cinco meses expuesto.
El dato
13 de mayo de 2026: fecha en que CVE-2026-0257 entró al catálogo KEV de vulnerabilidades explotadas, cinco meses antes de la alerta.
Contexto
Esta no es la primera falla crítica de este mes: PHP anunció dos fallas con parche un miércoles y SGLang expuso ejecución remota de código sin clave. Lo particular aquí es que la explotación es de grupos de ransomware ya conocidos y que la alerta recomienda subir a una versión corregida. Unit 42 investiga casos desde junio en salud, finanzas, gobierno y energía.
Qué viene
- La alerta de Unit 42 lleva guía de verificación y remediación agregada el 20 de octubre.
- El aviso de Palo Alto Networks es la fuente de versiones corregidas y mitigaciones.
- Sin cifras públicas de organizaciones comprometidas: la alerta no las entrega.
Cierre
Una falla en el catálogo KEV desde mayo y ransomware activo en octubre describen tanto la falla como la gestión de parches. Para muchas organizaciones, la fecha de aplicación es el dato que no se publica.
Fuentes
- Unit 42 — Threat Brief: Active Exploitation of PAN-OS CVE-2026-0257 — publicado y actualizado el 20 de octubre de 2026
- Imagen: ProjectManhattan, CC BY-SA 3.0, vía Wikimedia Commons
Editado por Rodrigo Cornejo. Cómo seleccionamos, verificamos y corregimos cada nota.
