---

📌 Descripción general

CVE-2026-0257 es una vulnerabilidad de omisión de autenticación que afecta a los componentes del portal y la puerta de enlace de GlobalProtect del software PAN-OS de Palo Alto Networks.

Un atacante remoto no autenticado puede eludir las restricciones de seguridad y establecer una conexión VPN no autorizada a los firewalls afectados.

Nota: Panorama y Cloud NGFW no se ven afectados.

---

⚠️ Gravedad y puntuación

Métrica	Puntuación	Calificación
CVSS v4.0	7.8 / 4.7	Alta / Media
CVSS v3.x	Hasta 9.8	Crítica
Urgencia	MÁXIMA	-

Vector (ejemplo de CVSS 4.0):
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:N

---

📖 Descripción

Las vulnerabilidades de omisión de autenticación en el portal y la puerta de enlace de GlobalProtect del software PAN-OS® de Palo Alto Networks permiten al atacante eludir las restricciones de seguridad y establecer una conexión VPN no autorizada.

El problema se origina en CWE-565: Confianza en cookies sin validación ni verificación de integridad.

---

🛠 Productos afectados

• Versiones de PAN-OS anteriores a las versiones corregidas (10.2, 11.1, 11.2, 12.1)
• Prisma Access (versiones específicas)
• Firewalls con el portal o la puerta de enlace de GlobalProtect configurados

No afectados:

• Panorama
• Cloud NGFW

---

🔍 Configuración vulnerable

Esta vulnerabilidad requiere la siguiente configuración para ser explotable:

1. El portal o la puerta de enlace de GlobalProtect está configurado
2. Las cookies de anulación de autenticación están habilitadas
3. El certificado de cifrado/descifrado de las cookies de anulación de autenticación se reutiliza con otra función

---

💥 Impacto

• Acceso VPN no autorizado a redes internas
• Posible movimiento lateral por parte de los atacantes
• Omisión de la autenticación multifactor (en determinadas configuraciones)
• Riesgo significativo para los perímetros empresariales

Alto impacto en la confidencialidad e integridad de las redes protegidas.

---

🔥 Estado de explotación

• Explotada activamente en el mundo real (a partir del 17 de mayo de 2026)
• Rapid7 observó una explotación exitosa
• Palo Alto Networks confirmó intentos de explotación limitados
• Añadida al catálogo CISA Known Exploited Vulnerabilities (KEV) el 29 de mayo de 2026

---

⚙️ Uso:

python3 CVE-2026-0257.py --target vpn.company.com
python3 CVE-2026-0257.py --target 192.168.1.100 --user administrator --verbose

✅ Resultado exitoso esperado:

╔══════════════════════════════════════════════════════════════╗
║         CVE-2026-0257 - GlobalProtect Auth Bypass            ║
║               Public Key Cookie Forging Exploit              ║
║                     Author: 0xBlackash                       ║
╚══════════════════════════════════════════════════════════════╝

[*] Connecting to vpn.company.com:443 to extract certificate chain...
   [+] Found 2048-bit RSA key

[*] Forging authentication cookie for user: admin

[1/1] Trying public key...
   Cookie (first 60 chars): eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

[+] SUCCESS! Authentication Bypass Achieved!
    Username : admin
    Cookie   : eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

✅ Parches y correcciones

Versiones corregidas (aplicar con urgencia):

Versión de PAN-OS	Versión corregida
12.1	≥ 12.1.4-h6, ≥ 12.1.7
11.2	≥ 11.2.4-h17, ≥ 11.2.7-h14, etc.
11.1	≥ 11.1.4-h33, ≥ 11.1.7-h6, etc.
10.2	≥ 10.2.7-h34, ≥ 10.2.10-h36, etc.

Prisma Access también cuenta con las versiones corregidas correspondientes.

---

🛡️ Mitigaciones

Soluciones alternativas inmediatas (si no es posible aplicar el parche):

• Deshabilitar las cookies de anulación de autenticación si no son necesarias
• Evitar la reutilización de certificados para la anulación de autenticación de GlobalProtect
• Supervisar los registros de GlobalProtect en busca de conexiones VPN sospechosas
• Restringir el acceso de administración y habilitar políticas de seguridad estrictas

---

🔗 Referencias

• Aviso oficial de Palo Alto Networks
• Detalle en NVD
• Análisis de Rapid7
• Catálogo KEV de CISA

---

📅 Cronología

Fecha	Evento
2026-05-13	Publicación del CVE + aviso inicial
2026-05-17	Explotación observada en la naturaleza
2026-05-29	Actualización de Palo Alto + incorporación al catálogo KEV de CISA
2026-05-30	Este informe

---