MagnoSec Blog
Qilin e INC aprovechan un fallo de Palo Alto Networks para saltarse el MFA
Palo Alto confirma explotación activa
Palo Alto Networks ha confirmado que sigue observando la explotación activa de una vulnerabilidad ya corregida que afecta a PAN-OS y a Prisma Access. Se trata de CVE-2026-0257, con una puntuación CVSS de 7.8, un fallo de omisión de autenticación que permite a un atacante establecer conexiones VPN no autorizadas. La compañía publicó el parche correspondiente en mayo de 2026, pero la explotación continúa sobre sistemas que aún no lo han aplicado.
Qilin e INC y el salto al ransomware
El interés de esta noticia no está en la vulnerabilidad en sí, sino en quién la está usando. Los grupos de ransomware Qilin e INC aparecen vinculados a esta actividad, lo que traslada el problema del ámbito de la exposición técnica al de la extorsión con impacto operativo. Para una empresa española, esto significa que un fallo de autenticación en el acceso remoto puede ser el punto de entrada de una campaña de cifrado y exfiltración.
Omisión de autenticación frente al MFA
El vector concreto es la omisión de autenticación combinada con el establecimiento de conexiones VPN no autorizadas. En la práctica, eso implica que el control de acceso que muchas organizaciones consideran su última línea de defensa puede quedar neutralizado si el dispositivo no está actualizado. El MFA no protege frente a una omisión de autenticación en el propio servicio: no hay segundo factor que validar cuando el sistema ya ha concedido el acceso.
Quién está expuesto en España
Las empresas afectadas potencialmente son todas aquellas que exponen servicios PAN-OS o Prisma Access, en particular las que dan acceso remoto a empleados, proveedores o terceros a través de VPN. En España, ese patrón es habitual en organizaciones con plantillas distribuidas y en compañías que han extendido el teletrabajo sin revisar en profundidad la superficie de acceso. La exposición no depende del tamaño, sino de si el servicio está publicado y sin corregir.
Revisar parches y sesiones VPN
La primera medida es verificar el estado de actualización de los dispositivos PAN-OS y Prisma Access y confirmar que se ha aplicado el parche de mayo de 2026. Después conviene revisar los registros de conexiones VPN en busca de sesiones no autorizadas o patrones anómalos que puedan indicar explotación previa. Si hay indicios de acceso, el foco debe pasar de la corrección a la respuesta: contención, análisis forense y evaluación de si se ha producido movimiento lateral.
Validar el acceso remoto con auditorías
Este caso encaja en el trabajo habitual de validación ofensiva que realiza MagnoSec: auditorías, pentesting y ejercicios de red team orientados a comprobar si la superficie de acceso remoto resiste un ataque real. La lección es que la gestión de parches y la revisión del acceso remoto son controles que deben verificarse con la misma exigencia que se aplica a cualquier otro perímetro. Una vulnerabilidad corregida pero sin desplegar sigue siendo una puerta abierta.
Temas tratados
ransomware · Palo Alto Networks · CVE-2026-0257 · PAN-OS · Prisma Access · MFA · VPN
Preguntas frecuentes
¿Qué es CVE-2026-0257?
Es un fallo de omisión de autenticación con una puntuación CVSS de 7.8 que afecta a PAN-OS y Prisma Access y permite establecer conexiones VPN no autorizadas. Palo Alto Networks lo corrigió en mayo de 2026.
¿El MFA protege frente a esta vulnerabilidad?
No. Al tratarse de una omisión de autenticación, el sistema concede el acceso sin que haya un segundo factor que validar. La protección real depende de aplicar el parche y revisar las conexiones VPN.
¿Qué grupos están explotando el fallo?
Palo Alto Networks vincula la explotación a los grupos de ransomware Qilin e INC, según ha confirmado al seguir observando actividad sobre sistemas no corregidos.
¿Qué debe hacer primero una empresa española?
Verificar que PAN-OS y Prisma Access están actualizados con el parche de mayo de 2026 y revisar los registros de VPN en busca de sesiones no autorizadas o patrones anómalos.
Servicios relacionados
MagnoSec
Auditoría de Red e Infraestructura
Auditoría de infraestructura tecnológica: redes internas y externas, servidores y firewalls. Hallazgos con CVSS y plan de remediación. PTES y OSSTMM.
MagnoSec
Red Team y Simulación de Ataques Reales
Ejercicios Red Team con simulación realista de adversario. Basado en MITRE ATT&CK. Evaluamos detección, respuesta y contención. Incluye sesión Purple Team.
MagnoSec
Pentesting Web para Empresas
Pentesting web y hacking ético de aplicaciones y APIs según OWASP WSTG. Detectamos SQL Injection, XSS y fallos de autenticación. Informe con CVSS y remediación.
Servicios de ciberseguridad
Pentesting Móvil y Auditoría de Apps
Pentesting de apps Android e iOS: análisis estático y dinámico, almacenamiento, comunicaciones y autenticación. Basado en OWASP MSTG, con informe y re-test.
Auditoría de Active Directory
Auditoría de Active Directory: identificación de vectores de escalado, Kerberoasting, BloodHound, ACLs abusivas. Protege el núcleo de tu identidad corporativa.
Auditoría de Servicios Cloud
Auditoría de seguridad cloud en AWS, Azure y GCP. Revisión de IAM, almacenamiento, red, monitorización. Basado en CIS Cloud Benchmarks. Informe CVSS.
Auditoría WiFi para Empresas
Auditoría de redes WiFi corporativas. War driving, rogue AP, WPA2/WPA3 Enterprise, 802.1X. Detectamos configuraciones débiles y accesos no autorizados.
Auditoría de Código Fuente
Auditoría de código de aplicaciones: revisión manual (code review) y SAST para detectar vulnerabilidades OWASP/CWE en cualquier lenguaje. Alcance y precio.
Ingeniería Social
Auditoría de ingeniería social: phishing, pretexting y USB drops. Evaluamos el factor humano con campañas controladas, informe y concienciación.
Desarrollo Seguro
Desarrollo seguro de aplicaciones web y móviles: Security by Design, DevSecOps y CI/CD con SAST/DAST. Software protegido desde la primera línea de código.
Auditoría de Seguridad para MVP y Startups
Auditoría de seguridad para MVP y startups: autenticación, control de acceso, APIs, Supabase/RLS y cloud. Revisión corta y priorizada antes de lanzar.
¿Quieres saber si tu empresa tiene estas vulnerabilidades?
Auditamos la seguridad de empresas de toda España con alcance cerrado por escrito, informe técnico y ejecutivo, y retest de las correcciones. Presupuesto en 24 horas y primera consultoría sin coste. Si no sabes por dónde empezar, haz el test de seguridad de 15 preguntas.
Artículos relacionados
octubre 2026
Palo Alto Networks alerta de una vulnerabilidad RCE en PAN-OS explotada en ataques
julio 2026
El Ransomware Qilin Explota un Bug Crítico en la VPN de Palo Alto: Tus Credenciales VPN son el Nuevo Ransomware
junio 2026
FortiBleed se Expande: 110 Millones de Credenciales Cosechadas por un IAB Ruso en 430.000 FortiGate
Recursos gratuitos
Guía completa
Guía de Pentesting Web: Metodología, Herramientas y Precios
Herramienta interactiva
Checklist de Seguridad Informática para Empresas
Referencia
Glosario de Ciberseguridad: 60+ Términos
Guía 2026
Certificaciones de Ciberseguridad: Precios y Comparativa
Herramienta
Calculadora de Precio de Pentesting
Cumplimiento
Pentesting para ISO 27001 y ENS: Qué Exige la Norma