Introducción
La persistencia de amenazas sobre infraestructura crítica de red demuestra que parchear no es suficiente si no se audita la superficie de ataque residual. Palo Alto Networks confirmó que los grupos de ransomware Qilin (identificado por Unit 42 como Spikey Scorpius) e INC (Tarnished Scorpius) continúan explotando activamente la vulnerabilidad CVE-2026-0257. Aunque el fabricante liberó el parche en mayo de 2026, la velocidad de adopción en entornos empresariales dejó una ventana de exposición crítica que los actores de amenaza están monetizando con precisión quirúrgica.
El riesgo no se limita a la intrusión inicial. La explotación permite a los atacantes eludir los controles de autenticación multifactor (MFA) y establecer sesiones VPN legítimas desde la perspectiva del gateway. Una vez dentro, la táctica evoluciona hacia una pivoteo directo a la capa de virtualización, donde desactivan controles de seguridad en hipervisores ESXi para extraer credenciales de dominio sin interactuar con los agentes de EDR instalados en los sistemas operativos invitados. Este vector convierte un problema de perimetría en una crisis de identidad y virtualización.
Qué ocurrió
La vulnerabilidad CVE-2026-0257, asignada con una puntuación CVSS de 7.8, reside en los productos PAN-OS y Prisma Access. Se trata de un fallo de omisión de verificación de autenticación que permite a un atacante remoto crear conexiones VPN sin presentar credenciales válidas ni completar el segundo factor de autenticación. Palo Alto Networks parcheó este defecto en mayo de 2026, y la Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) lo añadió a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 13 de mayo de 2026, señalando su uso activo en el mundo real.
A pesar de la disponibilidad del parche durante varios meses, los informes de inteligencia de amenazas de Unit 42 y ReliaQuest indican que los ataques no han cesado. Qilin e INC están utilizando esta puerta trasera para obtener un punto de apoyo inicial en redes corporativas. La novedad operativa no es la entrada, sino la velocidad con la que pasan de la red perimetral a los activos internos más críticos. En casos documentados, los atacantes no se detuvieron en el movimiento lateral tradicional a nivel de sistema operativo; saltaron directamente al hipervisor.
Impacto para DevOps / Infraestructura / Cloud / Seguridad
Para los equipos de infraestructura y seguridad, el impacto inmediato es la invalidación de supuestos básicos de confianza. La mayoría de las arquitecturas modernas confían en que una sesión VPN autenticada es un indicador de usuario legítimo. CVE-2026-0257 rompe esta premisa, permitiendo que tráfico no autenticado se mezcle con tráfico legítimo en los registros de auditoría, dificultando la detección mediante alertas tradicionales de inicio de sesión fallido.
El impacto se amplifica drásticamente en entornos virtualizados. La técnica reportada por Unit 42 describe cómo los atacantes, tras comprometer la puerta de enlace VPN, pivotan hacia los dispositivos de gestión de VMware vCenter. Desde allí, ejecutan acciones que requieren privilegios de administrador del hipervisor: desactivan la opción execInstalledOnly en los hosts ESXi. Esta configuración de seguridad previene la ejecución de códigos no firmados o no instalados correctamente. Al desactivarla, los atacantes introducen herramientas personalizadas para realizar volcados de credenciales fuera de línea (offline credential dumping) directamente contra los discos virtuales (VMDK) de los controladores de dominio.
Esta maniobra es crítica porque evade completamente las soluciones Endpoint Detection and Response (EDR) tradicionales. Al no ejecutar código dentro del sistema operativo invitado del controlador de dominio, no generan telemetría en los agentes EDR instalados en Windows. El acceso a los credenciales de dominio ocurre a nivel de hipervisor, un plano de control que a menudo carece de la misma visibilidad de seguridad que el plano de datos. Organizaciones en sectores como educación, servicios financieros, salud y utilidades energéticas enfrentan un riesgo elevado de exfiltración de datos masiva y cifrado de cargas de trabajo virtualizadas.
Además, los grupos están encadenando esta vulnerabilidad con otros exploits conocidos, específicamente CVE-2023-27532 en infraestructuras de respaldo Veeam. Esto sugiere un objetivo claro: no solo cifrar datos activos, sino destruir o cifrar las copias de seguridad, eliminando la capacidad de recuperación de la organización.
Detalles técnicos
La CVE-2026-0257 afecta a versiones específicas de PAN-OS y Prisma Access que no han sido actualizadas a los builds publicados en mayo de 2026. El vector de ataque es remoto, no requiere autenticación previa y se realiza a través de la interfaz de gestión o servicios de portal VPN expuestos a internet. La explotación exitosa genera una sesión de túnel IPsec o SSL VPN estable, con permisos definidos por los perfiles de conexión predeterminados o configurados por defecto en el gateway.
Una vez establecida la sesión, los atacantes de Qilin e INC utilizan herramientas de enumeración para identificar el servidor de gestión de VMware (vcsa). El movimiento lateral hacia vCenter Server Appliance (VCSA) suele aprovechar credenciales de servicio débiles, reutilizadas o accesibles a través de la VLAN de gestión a la que el VPN tiene acceso. Tras autenticarse en vCenter, los atacantes ejecutan comandos para modificar la configuración de seguridad de los hosts ESXi.
El comando crítico observado implica la desactivación de la protección execInstalledOnly. En términos técnicos, esto permite que cualquier binario copiado en el directorio de trabajo del host ESXi o en rutas de acceso público sea ejecutado. Los atacantes cargan un script o binario personalizado que lee directamente los ficheros .vmdk del controlador de dominio desde el almacenamiento compartido o local del host. Este proceso, conocido como «offline dumping», requiere acceso de lectura al disco virtual pero no requiere que la máquina virtual del controlador de dominio esté encendida o interactuando con la red de producción.
Posteriormente, se extraen los hashes NTLM de las cuentas de dominio. Con estas credenciales, los atacantes pueden autenticarse como administradores del dominio en cualquier otro sistema. La cadena de ataque se completa frecuentemente con la explotación de CVE-2023-27532 en servidores Veeam Backup & Replication, permitiendo la ejecución remota de código para cifrar los repositorios de respaldo.
Qué deberían hacer los administradores y equipos técnicos
La mitigación debe abordar tanto la vulnerabilidad raíz como las tácticas de post-explotación. Primero, verifiquen inmediatamente que todos los firewalls PAN-OS y las instancias de Prisma Access estén ejecutando una versión parcheada posterior a mayo de 2026. Si no pueden parchear inmediatamente, aíslen las interfaces de gestión y portal VPN de la red pública, restringiendo el acceso solo mediante IPs de confianza o mediante un broker de acceso a recursos (ZTNA) que no exponga el puerto de gestión directamente.
Segundo, auditen la exposición de la capa de virtualización. Asegúrense de que los servidores vCenter y los hosts ESXi no sean accesibles desde la red de usuarios finales o desde rangos de IP asignados por la VPN. La red de gestión de virtualización debe estar en una VLAN dedicada, aislada y protegida por reglas de firewall estrictas que no permitan tráfico desde la VPN de acceso remoto a los puertos 443 (HTTPS/vCenter) o 902 (VMware Remote Console) de los hosts ESXi.
Tercero, revisen la configuración de seguridad del hipervisor. Verifiquen que execInstalledOnly esté habilitado en todos los hosts ESXi. Esto puede comprobarse mediante la API de VMware o la interfaz web. Si detectan que esta opción fue desactivada recientemente, traten el evento como una violación de seguridad crítica. Realicen una búsqueda de indicadores de compromiso (IoC) relacionados con la creación de sesiones VPN anómalas y el acceso a ficheros .vmdk desde procesos del host ESXi.
Cuarto, segmenten la infraestructura de respaldo. Aíslen los servidores Veeam de la red de producción y de la red de gestión. Apliquen parches para CVE-2023-27532 y aseguren que las cuentas de servicio de Veeam no tengan privilegios de administrador de dominio. Implementen copias de seguridad inmutables que no puedan ser cifradas o eliminadas por un atacante incluso si obtiene acceso al repositorio.
Conclusión
La explotación continua de CVE-2026-0257 por parte de Qilin e INC subraya la necesidad de una defensa en profundidad que trascienda el parcheo. La capacidad de los atacantes para saltar del perímetro de red directamente a la capa de hipervisor, eludiendo las defensas de endpoint, exige una revisión de la arquitectura de seguridad de la virtualización. Los equipos de DevOps y seguridad deben priorizar la visibilidad del plano de control de VMware y la estricta separación de redes de gestión, producción y respaldo. La confianza ciega en las sesiones VPN autenticadas es un riesgo operativo que debe eliminarse mediante microsegmentación y monitoreo activo de anomalías en la capa de virtualización.
Fuentes
https://thehackernews.com/2026/10/qilin-and-inc-ransomware-groups-exploit.html