Ciberseguridad
VPN de Palo Alto atacada por ransomware: qué revisar
¿Tu empresa usa la VPN GlobalProtect de Palo Alto? Qilin e INC explotan la CVE-2026-0257: por qué actualizar no basta y qué revisar esta semana.
¿Por qué los grupos de ransomware atacan la VPN GlobalProtect de Palo Alto?
Porque una falla de autenticación en GlobalProtect, la CVE-2026-0257, permite abrir una sesión de VPN sin credenciales y saltarse la verificación en dos pasos, y los grupos de ransomware Qilin e INC la están usando para entrar a redes de empresas. Palo Alto Networks la corrigió en mayo de 2026, pero en octubre su equipo Unit 42, ReliaQuest y Arctic Wolf confirmaron ataques activos. Si tu empresa usa GlobalProtect, actualizar es el primer paso, pero no el último: quien entró antes del parche puede seguir dentro.
Resumen rápido
- CVE-2026-0257: omisión de autenticación en el portal y la puerta de enlace de GlobalProtect (PAN-OS y Prisma Access), con gravedad 7,8 sobre 10.
- Se corrigió en mayo; los ataques se investigan desde junio y siguen en octubre.
- Grupos identificados: Qilin, INC y Settra, además de intermediarios que venden accesos.
- Sectores atacados: salud, educación, gobierno, energía, servicios financieros, manufactura y TI.
- ReliaQuest estima que la explotación continuará en los próximos tres meses.
Cómo funciona el ataque
| Etapa | Qué hace el atacante |
|---|---|
| Entrada | Abre una sesión de VPN sin usuario ni contraseña, aprovechando que el firewall confía en cookies de autenticación sin validarlas bien |
| Reconocimiento | Usa herramientas legítimas de administración para mapear la red (BloodHound, SharpHound) |
| Movimiento lateral | Salta al servidor de virtualización (vCenter) y desactiva controles de seguridad en los hipervisores ESXi |
| Robo de credenciales | Copia el disco virtual del controlador de dominio y extrae contraseñas fuera de línea, sin que el antivirus lo vea |
| Respaldo | Encadena fallas de otros sistemas, como la CVE-2023-27532 de Veeam, para llegar a los respaldos |
| Impacto | Robo de datos y cifrado con ransomware, a veces con doble extorsión |
Los detalles están en la cobertura de Help Net Security y de Cybersecurity Dive. Las versiones corregidas de cada rama de PAN-OS están en el aviso oficial de Palo Alto Networks, que es la referencia a usar al actualizar.
Por qué parchear no basta
Esta falla lleva cinco meses publicada y aun así es, en palabras de ReliaQuest, una forma confiable de entrar a las redes. Eso dice mucho de cuántos equipos siguen sin actualizar. Pero el punto más importante es otro: actualizar el firewall cierra la puerta, no saca a quien ya entró.
Arctic Wolf advierte que el acceso obtenido con esta falla se convierte rápido en acceso remoto persistente: cuentas nuevas, herramientas de administración instaladas, credenciales robadas. Nada de eso desaparece con el parche. Por eso las recomendaciones de los investigadores incluyen cerrar todas las sesiones activas después de actualizar y hacer una revisión de compromiso.
Para una empresa mediana en Colombia, el escenario es muy concreto: la VPN es la puerta por la que trabaja todo el equipo remoto, el servidor de virtualización aloja el ERP y la contabilidad, y los respaldos están en la misma red. Es exactamente la cadena que estos grupos recorren.
Qué revisar si tu empresa usa GlobalProtect
- Confirma la versión de PAN-OS de cada firewall con GlobalProtect y compárala con la tabla del aviso oficial.
- Actualiza todos los portales y puertas de enlace. Si haces una actualización por fases, sigue la guía de Palo Alto para la compatibilidad de cookies y reactiva la validación estricta al terminar.
- Desactiva las cookies de anulación de autenticación donde no las necesites.
- Cierra todas las sesiones activas de GlobalProtect después de actualizar.
- Revisa los registros de VPN desde mayo buscando conexiones de equipos o ubicaciones desconocidas; los investigadores mencionan nombres de equipo como "kali".
- Revisa cuentas y herramientas nuevas en el directorio activo, vCenter y los servidores críticos.
- Comprueba que los respaldos estén aislados de la red principal y que Veeam, si lo usas, esté actualizado.
El ángulo de Zero Azul: cuenta tus puertas abiertas a internet
En los últimos meses hemos escrito sobre PHP2Shell en WordPress, sobre las fallas de n8n y sobre ransomware que alcanza los respaldos. El patrón es el mismo: el ataque empieza por un sistema expuesto a internet que nadie actualizó a tiempo.
Por eso, en la infraestructura que administramos para clientes, aplicamos una regla antes que cualquier herramienta: cada servicio expuesto a internet tiene un dueño y una fecha de última actualización. Lo resumimos en una tabla que recomendamos a cualquier empresa:
| Servicio expuesto | Pregunta clave | Si la respuesta es "no sé" |
|---|---|---|
| VPN y firewall | ¿Qué versión tiene y quién recibe los avisos del fabricante? | Riesgo alto: es la puerta principal |
| Paneles de administración (servidores, hosting, routers) | ¿Están abiertos a todo internet o solo a IP autorizadas? | Restringir el acceso esta semana |
| Sitio web y tienda | ¿Cuándo se actualizó por última vez el CMS y sus plugins? | Programar mantenimiento |
| Automatizaciones y webhooks | ¿Qué credenciales guardan y quién las ve? | Inventario de credenciales |
| Respaldos | ¿Hay una copia que un atacante dentro de la red no pueda borrar? | Prioridad máxima |
La segunda regla es suscribirse a los avisos de seguridad de cada fabricante que tienes expuesto. En este caso, quien leyó el aviso de Palo Alto en mayo y actualizó tuvo cinco meses de ventaja.
Qué hacer esta semana
- Pregunta a tu equipo o proveedor de TI si tu empresa usa GlobalProtect y en qué versión.
- Si no está actualizado, hazlo ya y cierra todas las sesiones activas.
- Pide una revisión de registros de VPN desde mayo y de cuentas creadas en ese periodo.
- Verifica que tienes un respaldo aislado y que alguien probó restaurarlo este año.
Si necesitas apoyo, en Zero Azul ofrecemos servicios de ciberseguridad con revisión de exposición y de compromiso, y administramos infraestructura en la nube con parches y respaldos definidos por contrato.
Preguntas frecuentes
¿Qué es la vulnerabilidad CVE-2026-0257 de Palo Alto?
Es una falla de omisión de autenticación en el portal y la puerta de enlace de GlobalProtect, la VPN de Palo Alto Networks. Permite a un atacante sin credenciales abrir una sesión de VPN, porque el firewall confía en cookies de autenticación sin validarlas de forma suficiente.
¿Qué grupos de ransomware usan la falla de GlobalProtect?
Unit 42 de Palo Alto identificó a Qilin e INC, y ReliaQuest también reportó a Settra. Además, se espera que intermediarios de acceso la usen para vender entradas a otras bandas.
¿Cómo sé si mi VPN de Palo Alto es vulnerable?
Revisa la versión de PAN-OS de cada firewall con GlobalProtect configurado y compárala con la tabla de versiones corregidas del aviso oficial de Palo Alto Networks. La falla aplica cuando están habilitadas las cookies de anulación de autenticación.
¿Basta con actualizar el firewall para estar seguro?
No. La actualización impide nuevos accesos, pero un atacante que entró antes puede haber creado cuentas o instalado herramientas. Después de actualizar hay que cerrar las sesiones activas y revisar los registros y las cuentas desde mayo de 2026.
¿Cómo protejo los respaldos de mi empresa contra ransomware?
Mantén al menos una copia aislada de la red principal, que un atacante con acceso interno no pueda borrar, y prueba restaurarla periódicamente. En estos ataques los grupos intentaron llegar a los respaldos aprovechando fallas en software como Veeam.