============================================================================== CISA SUMA PAN-OS, CISCO Y AHSAY A SU CATÁLOGO DE EXPLOTACIÓN ACTIVA ============================================================================== Fuente: https://www.vantis.cl/noticias/cisa-kev-pan-os-cisco-seg-ahsay-explotacion-activa Publicado: 2026-10-22 (hora de Chile) Ambito: chile · Criticidad: critica Descargado: 2026-10-25 05:42 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Logs de gestión/administración de PAN-OS (GlobalProtect portal, interfaz de management) · CommonSecurityLog / syslog CEF de Palo Alto Networks · Logs de Cisco Secure Email Gateway (procesamiento de adjuntos, acceso a CLI/web admin) · Logs de autenticación y ejecución de procesos del servidor donde corre AhsayCBS · Logs de proxy/firewall perimetral para tráfico saliente desde estos tres activos ============================================================================== REGLA 1 de 4 · SIGMA (canonica, neutral) Acceso externo a interfaz de administración de PAN-OS seguido de cambio de configuración — status experimental ============================================================================== Requiere: Logging habilitado de eventos de acceso a management y de cambios de configuración en PAN-OS, exportado a un SIEM. Ajustar el nombre de la zona 'untrust' al esquema real de zonas de la organización. title: Acceso externo a management de PAN-OS con cambio de config id: 7f3a9c2e-4b61-4f8a-9d2e-c91a4f6b7d03 status: experimental description: Detecta acceso a la interfaz de administración de PAN-OS desde una zona no confiable seguido de un evento de cambio de configuración, patrón compatible con explotación de CVE-2026-0322. references: - https://www.cisa.gov/news-events/alerts/2026/10/14/cisa-adds-four-known-exploited-vulnerabilities-catalog logsource: category: firewall product: paloalto detection: acceso_externo: zone_from: 'untrust' dst_port: - 443 - 4443 event_type: 'mgmt-access' cambio_config: event_type: 'config-change' timeframe: 5m condition: acceso_externo | near cambio_config falsepositives: - Administradores legítimos gestionando el firewall desde una VPN que termina en zona untrust - Integraciones automatizadas de gestión (Panorama, scripts de API) mal clasificadas en la zona level: high ============================================================================== REGLA 2 de 4 · MICROSOFT SENTINEL - KQL PAN-OS: acceso a management desde zona no confiable (CommonSecurityLog) ============================================================================== Requiere: Conector de Palo Alto Networks en formato CEF/CommonSecurityLog configurado en Sentinel. Confirmar el nombre real del campo de zona según el parser usado. CommonSecurityLog | where DeviceVendor == "Palo Alto Networks" | where DeviceEventClassID in ("mgmt-access", "config-change") | extend Zone = tostring(parse_json(AdditionalExtensions).sourceZone) | where Zone =~ "untrust" | summarize Eventos = count(), Tipos = make_set(DeviceEventClassID) by SourceIP, DestinationIP, bin(TimeGenerated, 5m) | where array_length(Tipos) > 1 ============================================================================== REGLA 3 de 4 · SPLUNK - SPL Cisco Secure Email Gateway: patrón de path traversal en nombre de adjunto ============================================================================== Requiere: Logging de nombre de archivo y metadatos de adjuntos en Cisco Secure Email Gateway indexado en Splunk como sourcetype cisco:esa. Ajustar el sourcetype al real del TA instalado. index=mail sourcetype=cisco:esa | rex field=attachment_name "(?(\.\./){2,}|%2e%2e%2f)" | where isnotnull(traversal) | stats count by sender, recipient, attachment_name, src_ip | where count > 0 ============================================================================== REGLA 4 de 4 · WAZUH / VERIFICACION EN HOST AhsayCBS: archivo nuevo o proceso sospechoso en servidor de backup ============================================================================== Requiere: Módulo FIM (syscheck) de Wazuh apuntando al directorio de instalación de AhsayCBS, y auditd o Sysmon reportando relación padre-hijo de procesos en el host. 550 AhsayCBS Nuevo archivo detectado en directorio de AhsayCBS tras ventana de explotación conocida (CVE-2026-105133/105134) file_integrity,ahsay, 530 (msedge|edge) (java|tomcat) Proceso disfrazado de Microsoft Edge lanzado desde el proceso de AhsayCBS — patrón reportado de despliegue de XMRig process_monitoring,ahsay, ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== La regla de PAN-OS puede dispararse con integraciones legítimas de gestión (Panorama, API de terceros, saltos de VPN mal segmentados como 'untrust'); hay que ajustar la definición de zona de confianza al esquema real antes de activarla en modo bloqueo. La regla de Cisco ESA puede marcar nombres de archivo legítimos que casualmente contienen secuencias similares a traversal (poco común, pero posible en archivos comprimidos con nombres generados automáticamente). La regla de Wazuh sobre AhsayCBS requiere una línea base previa del directorio de instalación, de lo contrario el primer despliegue o actualización legítima generará ruido. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================