GlobalProtect activamente explotado: Qilin se aprovecha del VPN de Palo Alto

Una vulnerabilidad crítica de *authentication bypass* en PAN-OS en el portal GlobalProtect (el firewall VPN de Palo Alto Networks) está siendo explotada en el mundo real por el grupo de ransomware Qilin. Arctic Wolf, citado por BleepingComputer, confirma intrusiones activas: ya no se puede esperar a aplicar el parche.

Los hechos

BleepingComputer informa, basándose en las observaciones de Arctic Wolf, que el grupo de ciberdelincuentes Qilin (ransomware-as-a-service activo desde 2022, conocido por sus ataques contra el sector salud y retail) ahora explota una vulnerabilidad crítica de omisión de autenticación en PAN-OS, específicamente en el portal GlobalProtect de Palo Alto Networks —es decir, en el firmware del firewall/portal expuesto, y no en el lado del cliente final. Las intrusiones observadas tienen como objetivo el despliegue del ransomware propio de Qilin en las redes de las víctimas.

Quién está afectado

• Las organizaciones que exponen el portal GlobalProtect (firewall Palo Alto en acceso remoto) en Internet —es decir, la inmensa mayoría de los despliegues de PAN-OS que sirven como VPN.
• Prioridad máxima para objetivos de alto valor: hospitales, bufetes de abogados, industria, administraciones públicas —el modus operandi habitual de Qilin.

Por qué este caso es serio

Tres elementos acumulados:

1. Explotación activa — se pasó de lo teórico (advertencia) a la observación de intrusiones exitosas documentadas por Arctic Wolf.
2. Firewall perimetral comprometido — un portal PAN-OS comprometido significa acceso directo a la red interna a través de un equipo de borde de confianza, no solo un puesto de usuario.
3. Encadenamiento hacia un ransomware — la explotación no sirve para espiar discretamente, sino para cifrar y extorsionar. La ventana de reacción se mide en horas.

Qué hacer ahora

• Verificar la versión de PAN-OS de todos los portales GlobalProtect expuestos y aplicar inmediatamente el parche de Palo Alto correspondiente a la advertencia vigente (ver security.paloaltonetworks.com).
• Buscar los IoC publicados por Arctic Wolf y los equipos de inteligencia de amenazas que siguen a Qilin.
• Auditar las cuentas que hayan utilizado la VPN durante la ventana de exposición: sesiones anómalas, creación de cuentas locales, ejecución inesperada de PowerShell.
• Aislar cualquier host contactado desde el portal VPN con comportamiento lateral sospechoso (SMB, WinRM, RDP interno).

Análisis

Se repite el escenario clásico del dispositivo de borde VPN convertido en autopista de intrusión —como se vio con Ivanti, Fortinet, Citrix en los últimos años. Qilin se inscribe en una tendencia de fondo: las bandas de RaaS compran (o desarrollan) rápidamente exploits para equipos de borde, precisamente porque la ventana entre la publicación de la advertencia y el despliegue del parche en las empresas sigue siendo demasiado amplia. Tratar un firewall PAN-OS como un servidor aplicativo ordinario —parcheado en 72 horas y con monitoreo— ya no es opcional.