La VPN que deja entrar sin preguntar: explotación activa en GlobalProtect

CVE-2026-0257 permite a un atacante remoto y sin autenticar establecer una conexión VPN hacia la red interna. La ANCI no lo reportó como riesgo teórico: lo publicó como explotación activa. En un gateway VPN, eso significa que la puerta ya está abierta.

Qué pasó

El 21 de julio de 2026 la ANCI publicó AVC26-00725, alerta crítica sobre Palo Alto Networks GlobalProtect, dirigida explícitamente a prestadores de servicios esenciales y operadores de importancia vital.

El texto de la Agencia es inequívoco en el punto que más importa: fue dada a conocer la explotación activa de CVE-2026-0257, una vulnerabilidad de omisión de autenticación en los portales y gateways de GlobalProtect.

El efecto es directo: un atacante remoto no autenticado puede eludir los controles de seguridad y establecer una conexión VPN no autorizada hacia la red interna. No es acceso a un servicio; es presencia dentro del perímetro, con la dirección IP interna que la propia VPN le asigna.

La causa raíz está en el uso de cookies sin una validación adecuada de su integridad, debilidad catalogada como CWE-565. Afecta a equipos que tengan un portal o gateway de GlobalProtect configurado, que utilicen cookies de *authentication override* y que presenten una configuración específica.

La mitigación es actualizar PAN-OS a la versión corregida de la rama en uso. Y hay un detalle operativo que la alerta subraya y que conviene planificar: en entornos con cookies de *authentication override*, todos los portales y gateways que generen o acepten esas cookies deben actualizarse de forma coordinada. Una actualización parcial produce problemas de compatibilidad entre dispositivos.

Por qué importa acá

GlobalProtect está ampliamente desplegado en bancos, entidades de gobierno, retail e industria en Chile para conectar trabajadores remotos y sucursales a la red central. Por diseño, es un gateway expuesto a internet: es superficie de ataque de primera línea, y no hay forma de esconderlo.

Esa es justamente la diferencia con un endpoint comprometido por phishing. Un puesto de trabajo vulnerado da un punto de apoyo dentro de la red. Un gateway VPN vulnerado da una ruta de entrada centralizada, que afecta a toda la organización a la vez y que además llega ya autenticada a ojos de los controles internos que confían en la VPN.

Los gateways expuestos son trivialmente identificables con motores de escaneo público como Shodan o Censys: cualquiera puede mapear en minutos qué organizaciones usan este producto y en qué versión, sin acceso privilegiado previo. Cuando existe explotación activa, esa facilidad de descubrimiento define el plazo real que tienes, y no es de semanas.

Bajo la Ley 21.663, una brecha originada en un componente de acceso remoto activa obligaciones de reporte dentro de plazos definidos. Y si el gateway comprometido da acceso a bases de datos de clientes o empleados, entra la Ley 21.719. Documentar la línea de tiempo de detección, parcheo y respuesta es lo que después sustenta cualquier defensa ante la autoridad.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — El portal de GlobalProtect es, por diseño, una aplicación expuesta a internet.
• T1133 — El resultado del abuso es una sesión VPN legítima a ojos de los controles internos.
• T1550 — La cookie de authentication override sustituye a la credencial. Eso es CWE-565.
• T1021 — Con IP interna asignada, el movimiento lateral parte desde dentro del perímetro.
• D3-NTA — La contramedida realista: la sesión es válida, así que hay que detectarla por comportamiento.

title: Sesion VPN de GlobalProtect sin autenticacion previa correspondiente
id: 2b8e5f31-7a94-4c02-9d16-3e7f8a4b5c90
status: experimental
description: >
  Busca el sintoma central de CVE-2026-0257: una sesion de GlobalProtect establecida sin
  el evento de autenticacion que deberia precederla, resultado de aceptar una cookie de
  authentication override sin validar su integridad (CWE-565).
references:
  - https://www.anci.gob.cl/alertas/
author: Vantis Chile SpA
date: 2026/07/22
logsource:
  product: paloalto
  service: globalprotect
detection:
  sesion_establecida:
    event_type: 'gateway-connect'
  autenticacion_previa:
    event_type: 'auth-success'
  timeframe: 5m
  condition: sesion_establecida and not autenticacion_previa
falsepositives:
  - Reconexiones automaticas del cliente dentro de la vigencia de una sesion valida.
    Calibrar la ventana temporal contra el timeout configurado en tu portal.
level: critical
tags:
  - attack.initial_access
  - attack.t1190
  - attack.t1133

// Sesiones VPN anomalas: horario, geografia y usuarios que nunca usan VPN
let ventana = 45d;
let habitual = SigninLogs
    | where TimeGenerated > ago(180d) and TimeGenerated < ago(ventana)
    | summarize PaisesHabituales = make_set(Location, 20) by UserPrincipalName;
SigninLogs
| where TimeGenerated > ago(ventana)
| where AppDisplayName has "GlobalProtect" or ResourceDisplayName has "GlobalProtect"
| join kind=leftouter habitual on UserPrincipalName
| extend PaisNuevo = isnull(PaisesHabituales) or not(set_has_element(PaisesHabituales, Location))
| extend HoraLocal = datetime_add('hour', -4, TimeGenerated)
| extend FueraDeHorario = hourofday(HoraLocal) < 7 or hourofday(HoraLocal) > 21
| where PaisNuevo or FueraDeHorario
| project TimeGenerated, UserPrincipalName, Location, IPAddress, PaisNuevo,
          FueraDeHorario, ResultType
| order by TimeGenerated desc

index=paloalto sourcetype=pan:globalprotect earliest=-45d
| eval evento = lower(coalesce(log_subtype, event_id))
| stats values(evento) AS eventos, min(_time) AS inicio, max(_time) AS fin,
        dc(src_ip) AS ips, values(src_ip) AS origenes, values(public_ip) AS publicas
        by user, session_id
| eval sin_auth = if(isnull(mvfind(eventos, "auth")), 1, 0)
| eval multi_origen = if(ips > 1, 1, 0)
| where sin_auth=1 OR multi_origen=1
| convert ctime(inicio) ctime(fin)
| sort - inicio

Fuentes

• ANCI / CSIRT NacionalAVC26-00725 — Palo Alto Networks GlobalProtect, vulnerabilidad crítica (CVE-2026-0257) · 2026-07-21
• MITRE CWECWE-565 — Reliance on Cookies without Validation and Integrity Checking
• MITRE ATT&CKT1133 — External Remote Services
• MITRE ATT&CKT1550 — Use Alternate Authentication Material
• BCNLey 21.663, Ley Marco de Ciberseguridad

Relacionado