Alguien entró a la VPN sin credenciales. No necesitó contraseña, no necesitó segundo factor, falsificó un cookie de autenticación y la VPN lo aceptó. El CVE-2026-0257 en el PAN-OS GlobalProtect de Palo Alto hace exactamente eso: bypass de autenticación con CVSS 9.1, CISA KEV con plazo del 1 de junio y explotación activa desde el 17 de mayo. En Tech86 lo vemos como lo que realmente es: cuando la VPN acepta cookies falsificados, el perímetro no está protegiendo.
El bug: los authentication override cookies se convirtieron en puerta abierta
GlobalProtect soporta authentication override cookies, un mecanismo de reautenticación que permite a los usuarios reconectarse sin nuevo login cuando el cookie es válido. En teoría, es conveniencia. En la práctica, se convirtió en el vector de entrada.
La vulnerabilidad permite que un atacante no autenticado falsifique el cookie y establezca una conexión VPN directa a la red interna. Sin credenciales. Sin MFA. Sin interacción del usuario. El atacante entra por la VPN como si fuera un empleado legítimo, el perímetro queda completamente eludido.
La configuración vulnerable es específica, pero no rara: Cloud Auth deshabilitado + auth override cookies habilitados + certificado de cookie encryption compartido con HTTPS. Cuando los tres están presentes, el appliance acepta el cookie falsificado. Si su ambiente tiene ese perfil, el parche es urgente.
La explotación: datos reales de Rapid7 MDR
Esto no es teoría. Rapid7 MDR detectó la primera ola de explotación el 18 de mayo, en el ambiente de un cliente en Vultr. El hostname del dispositivo comprometido: "GP-CLIENT". Dirección MAC suplantada: aa:bb:cc:dd:ee:ff (formato ilustrativo, consulte el advisory de Rapid7 para IOCs reales). Tres días después, el 21 de mayo, una segunda ola alcanzó a otro cliente, en Dromatics. Hostname: "DESKTOP-GP01". Misma MAC, mismo actor.
Los números son reveladores: en 8 de cada 10 clientes analizados por Rapid7 MDR, el cookie falsificado fue aceptado sin siquiera asignar una IP VPN. En 2 de cada 10, el atacante obtuvo acceso completo a la red interna. La diferencia entre los dos escenarios depende de la configuración específica del gateway, pero en ambos el perímetro fue violado.
El patrón de explotación es consistente: el atacante falsifica el cookie, se conecta al GlobalProtect y, si la configuración lo permite, navega por la red interna como un empleado autenticado. No hay fuerza bruta, no hay phishing, no hay ingeniería social. Es un bypass directo y silencioso.
La discrepancia: "medium" no es medium
Palo Alto clasificó la vulnerabilidad como "medium". El argumento: requiere una configuración específica. Rapid7 discrepó públicamente, y nosotros concordamos con Rapid7.
Un auth bypass en una VPN expuesta a internet que pone atacantes dentro de la red interna no es medium. Es crítico. El hecho de depender de una configuración específica no reduce la severidad, reduce el número de objetivos, pero no el impacto en quien es afectado. Que el vendor clasifique como "medium" una vulnerabilidad que da acceso no autenticado a la red interna es un problema de comunicación, no de severidad.
El precedente es reciente y grave: CVE-2024-3400, CVSS 10.0, misma superficie de GlobalProtect, explotado por actores patrocinados por estados en horas. La VPN de Palo Alto es uno de los appliances más atacados del mercado. La ventana entre disclosure y explotación activa se mide en horas, no en días.
Qué hacer ahora
El stopgap es claro: deshabilite los auth override cookies o genere un certificado dedicado para cookie encryption que no se comparta con HTTPS. Estas mitigaciones reducen la superficie de inmediato, pero no sustituyen el parche. PAN-OS actualizado en todas las ramas, sin excepción.
Rapid7 publicó un script PoC en GitHub. Úselo para probar sus appliances. Si el cookie falsificado es aceptado, el appliance está vulnerable, independientemente de lo que clasifique el vendor.
Monitoree los logs activamente. Los indicadores de compromiso documentados son los hostnames "GP-CLIENT" y "DESKTOP-GP01" y la dirección MAC aa:bb:cc:dd:ee:ff (formato ilustrativo, consulte el advisory de Rapid7 para IOCs reales). Si cualquiera aparece en sus logs, el atacante ya accedió a la red interna. No es un intento, es un compromiso confirmado.
La lección: la VPN es el perímetro
La VPN es el perímetro. Cuando acepta cookies falsificados, la red queda expuesta. Esta vulnerabilidad refuerza lo que defendemos en Tech86: la confianza no debe delegarse a un único control de perímetro. Las arquitecturas zero-trust verifican la identidad en cada acceso, no solo en la puerta de entrada.
Si alguien entra a su VPN sin credenciales, el perímetro no está protegiendo. Si el vendor clasifica esto como "medium", el problema es de comunicación, no de severidad. Auditamos perímetros y diseñamos arquitecturas zero-trust porque la realidad de los ataques no espera la clasificación del vendor.