ANCI confirma explotación activa de falla en VPN GlobalProtect

El fallo permite a un atacante no autenticado eludir la validación de una cookie de anulación de autenticación y abrir una sesión VPN hacia la red interna. No ejecuta código en el firewall, pero entrega el punto de apoyo que un atacante necesita para moverse dentro de la red.

Qué pasó

El CSIRT Nacional (ANCI) publicó la alerta AVC26-00725, dirigida específicamente a proveedores de servicios esenciales y operadores de importancia vital (OIV), sobre CVE-2026-0257 en los portales y gateways GlobalProtect de Palo Alto Networks.

Según el boletín, la vulnerabilidad afecta a dispositivos que cumplen simultáneamente tres condiciones:

• tienen configurado un portal o gateway GlobalProtect;
• usan cookies de anulación de autenticación (*authentication override*); y
• presentan una configuración específica de certificados (ANCI no detalla cuál).

La causa raíz es CWE-565: la cookie de anulación no se valida correctamente en su integridad, lo que permite a un atacante remoto no autenticado falsificarla o reutilizarla para saltarse el flujo normal de login y abrir una sesión VPN hacia la red interna.

ANCI es explícita en el límite del impacto: no hay ejecución de código en el firewall. Lo que hay es acceso de red: una vez dentro por la VPN, el atacante queda en posición de hacer reconocimiento y buscar credenciales, tal como lo describe la propia alerta.

Lo que el boletín no incluye —y que no vamos a inventar— es el CVSS del CVE, la versión de PAN-OS corregida, o si ya existe un parche disponible. Recomendamos verificar directamente en el portal de soportes y boletines de seguridad de Palo Alto Networks antes de decidir una ventana de mantención.

Por qué importa acá

GlobalProtect es una de las soluciones de acceso remoto más desplegadas en la banca, telecomunicaciones, salud y organismos públicos chilenos — justamente el universo al que ANCI dirige esta alerta. Que el vector no requiera credenciales previas eleva el riesgo por sobre el de una vulnerabilidad típica de phishing: acá el atacante no necesita engañar a nadie, solo encontrar el gateway expuesto y con la configuración vulnerable.

Para un OIV, esto activa dos preguntas de gobierno bajo la Ley 21.663, no solo una técnica: primero, si el dispositivo propio califica (portal/gateway GlobalProtect + cookies de auth override + esa configuración de certificados); segundo, si una explotación efectiva constituye un incidente reportable a ANCI. No citamos plazos de reporte porque el boletín no los especifica para este caso puntual — verifíquelos en el marco normativo vigente para su sector.

Evaluación (confianza alta): clasificamos esta alerta como crítica pese a no tener el CVSS público, porque coinciden tres señales que sí están confirmadas por la fuente: explotación activa, ausencia de requisito de autenticación, y alcance declarado sobre proveedores de servicios esenciales. Lo que falta para subir esto a "hecho" completo es el score y la versión parcheada — eso sí es un dato pendiente, no una inferencia nuestra.

Hipótesis sobre el vector técnico (confianza media): el mecanismo más probable es que el atacante reconstruya o reutilice una cookie de anulación válida aprovechando que el gateway no valida correctamente su firma o su vigencia contra el certificado configurado. ANCI no publica el payload ni el paso a paso, así que esto es nuestra lectura del CWE-565 aplicado al flujo de *authentication override* de GlobalProtect, no una confirmación. La alternativa que no podemos descartar es que el problema esté en la validación del certificado en sí y la cookie sea secundaria — por eso queda en confianza media, no alta.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — El portal/gateway GlobalProtect expuesto a Internet es el punto de entrada; la explotación no requiere credenciales previas, solo alcanzar el servicio con la configuración vulnerable.
• T1133 — La sesión VPN resultante es indistinguible de un acceso remoto legítimo desde la telemetría de red estándar, lo que complica la detección basada solo en 'hay una VPN activa'.
• T1087 — Es el impacto post-acceso que la propia ANCI describe (reconocimiento y obtención de credenciales) como capacidad habilitada por la sesión VPN no autorizada. No hay confirmación de que haya ocurrido en un caso concreto; es el riesgo declarado en la alerta, no un hallazgo forense.

title: Autenticación GlobalProtect vía cookie de anulación (posible explotación CVE-2026-0257)
id: b6f0e3c2-8a1d-4c9f-9e2a-517c3f9d0b46
status: experimental
description: Detecta autenticaciones exitosas en el portal o gateway GlobalProtect donde el método registrado es la cookie de anulación de autenticación, consistente con el vector de CVE-2026-0257.
references:
    - https://csirt.gob.cl/alertas/AVC26-00725/
author: Vantis
date: 2026-09-04
logsource:
    category: application
    product: paloalto
    service: globalprotect
detection:
    selection:
        Stage: 'Auth'
        AuthMethod: 'Cookie'
        Status: 'success'
    condition: selection
fields:
    - SourceIP
    - User
    - Portal
    - Gateway
    - ClientOS
falsepositives:
    - Reautenticación legítima mediante cookie de sesión de un usuario que ya completó MFA recientemente
    - Roaming de dispositivos administrados con cookie de anulación habilitada por diseño
level: high

CommonSecurityLog
| where DeviceVendor == "Palo Alto Networks" and DeviceProduct has "GlobalProtect"
| where Message has "Auth Method: Cookie" or AdditionalExtensions has "AuthMethod=Cookie"
| where Activity has "success"
| project TimeGenerated, SourceIP, DestinationHostName, SourceUserName, DeviceAction, Message

index=network sourcetype=pan:globalprotect auth_method=Cookie status=success
| stats count min(_time) as primer_evento max(_time) as ultimo_evento by user, src_ip, portal, gateway
| where count > 0

SELECT DATEFORMAT(devicetime,'YYYY-MM-dd HH:mm:ss') AS event_time, sourceip, username, payload
FROM events
WHERE devicetype = 'Palo Alto Networks GlobalProtect'
AND payload ILIKE '%Auth Method: Cookie%'
AND payload ILIKE '%Status: success%'
LAST 24 HOURS

Fuentes

• ANCIAVC26-00725 - Palo Alto Networks GlobalProtect - Vulnerabilidad Crítica · 2026-07-21

Relacionado