Ataques con ransomware Qilin mediante vulnerabilidad CVE-2026-0257 en PAN-OS

La vulnerabilidad de omisión de autenticación CVE-2026-0257 (CVSS 7.8) en los componentes de portal y gateway de Palo Alto Networks PAN-OS, según los investigadores de Arctic Wolf, está siendo explotada activamente por atacantes como vector inicial de penetración para el posterior despliegue del ransomware Qilin (también conocido como Agenda). La vulnerabilidad ya ha sido corregida por el fabricante. Las organizaciones que utilizan PAN-OS con las cookies de sobreescritura de autenticación habilitadas deben comprobar de inmediato la disponibilidad del parche y auditar las sesiones VPN en busca de accesos no autorizados.

Detalles técnicos de la vulnerabilidad

Tal y como informa Arctic Wolf Labs, en junio de 2026 la compañía investigó varios incidentes que comenzaban con la explotación de CVE-2026-0257. La vulnerabilidad afecta a los componentes de portal y gateway de PAN-OS y permite a atacantes remotos no autenticados eludir el mecanismo de autenticación y establecer sesiones VPN sin credenciales válidas. La condición necesaria es que estén habilitadas las cookies de sobreescritura de autenticación bajo determinadas configuraciones de certificados.

La entrada sobre la vulnerabilidad está disponible en la base NVD. La puntuación CVSS es de 7.8 (alto nivel de criticidad). En el momento de la publicación, la vulnerabilidad no se ha incluido en el catálogo CISA KEV.

Cadena de ataque y tácticas de los atacantes

Según los investigadores, tras explotar la vulnerabilidad los atacantes establecían sesiones SSL VPN para obtener acceso autenticado a la red de la víctima. La cadena de ataque posterior incluía las siguientes etapas:

• Recopilación de credenciales — compromiso de cuentas administrativas para ampliar el acceso
• Movimiento lateral — uso de PsExec y de recursos compartidos administrativos de Windows para propagarse por la red
• Despliegue de la carga útil — preparación del ransomware en el directorio C:\PerfLogs\
• Evasión de la detección — limpieza de los registros de eventos de Windows y desactivación de la protección en tiempo real de Microsoft Defender antes de ejecutar el ransomware
• Persistencia en el sistema — patrón de persistencia inusual a través del registro de Windows: un símbolo de asterisco seguido de seis letras minúsculas aleatorias del alfabeto latino

Cabe destacar que la carga útil del ransomware estaba protegida con contraseña, lo que complica aún más el análisis automatizado y la detección.

Variabilidad de las acciones posteriores a la explotación

A pesar de los patrones comunes de acceso inicial y preparación, Arctic Wolf observó diferencias significativas en las acciones posteriores a la compromisión entre distintas víctimas. Los investigadores identificaron varios escenarios:

• Cifrado rápido — cifrado masivo de la infraestructura corporativa sin exfiltración de datos previa
• Reconocimiento y acceso remoto — despliegue de herramientas AnyDesk, Ngrok o LogMeIn para labores de reconocimiento ampliadas
• Doble extorsión — robo masivo de credenciales y exfiltración de datos a la nube de MEGA mediante Rclone, Proton Drive y FileZilla antes de ejecutar el ransomware

Según la evaluación de Arctic Wolf, esta variabilidad es característica del modelo «ransomware as a service» (RaaS), en el que varios grupos afiliados utilizan una infraestructura común de acceso inicial y un mismo conjunto de herramientas de cifrado, pero aplican sus propios métodos preferidos de post-explotación. Esta hipótesis se basa en la observación de las tácticas, pero no ha sido confirmada por las fuerzas del orden ni por el proveedor.

Contexto de la amenaza

Qilin (Agenda) es un grupo activo que opera bajo el modelo RaaS. El panorama observado, en el que un único punto de entrada a través de una vulnerabilidad en un dispositivo perimetral es utilizado por distintos operadores con métodos de post-explotación diversos, apunta a la madurez del modelo operativo del grupo. El uso de servicios en la nube (MEGA, Proton Drive) para la exfiltración de datos refleja la tendencia al abuso de plataformas legítimas, lo que dificulta la detección a nivel de monitorización de red.

Evaluación del impacto

Están en riesgo todas las organizaciones que utilizan PAN-OS con las cookies de sobreescritura de autenticación habilitadas en los componentes de portal y gateway. Dada la amplia implantación de las soluciones de Palo Alto Networks en el segmento corporativo y el papel de los gateways VPN como punto de entrada al perímetro protegido, la escala potencial del impacto es considerable. La explotación exitosa proporciona a los atacantes acceso autenticado completo a la red interna, lo que, en ausencia de una segmentación eficaz, puede conducir a la completa compromisión de la infraestructura.

Recomendaciones

1. Instale el parche — asegúrese de que PAN-OS se ha actualizado a una versión que corrija CVE-2026-0257. Verifique el estado de la actualización conforme a las recomendaciones oficiales de Palo Alto Networks.
2. Verifique la configuración — audite los ajustes de las cookies de sobreescritura de autenticación y las configuraciones de certificados en los portales y gateways de PAN-OS.
3. Realice un análisis retrospectivo — revise los registros de sesiones VPN de junio de 2026 en busca de conexiones anómalas, especialmente desde orígenes desconocidos.
4. Supervisión de indicadores — supervise la aparición de archivos en el directorio C:\PerfLogs\, el uso de PsExec a través de recursos compartidos administrativos y las entradas inusuales en el registro de Windows que se ajusten al patrón «asterisco + seis letras aleatorias».
5. Control de herramientas de acceso remoto — identifique y bloquee el uso no autorizado de AnyDesk, Ngrok y LogMeIn en el entorno corporativo.
6. Bloqueo de la exfiltración — limite o controle las conexiones salientes hacia MEGA, Proton Drive y servicios en la nube de almacenamiento de datos similares.

Esta campaña demuestra un enfoque típico de las operaciones RaaS modernas: la explotación de una vulnerabilidad en un dispositivo perimetral proporciona el acceso inicial, que posteriormente es monetizado por distintos operadores afiliados. La acción prioritaria es la verificación inmediata de la presencia del parche para CVE-2026-0257 en todas las instancias de PAN-OS y el análisis retrospectivo de los registros VPN para identificar posibles compromisos ocurridos antes de la actualización.