Palo Alto cae pese a cobertura alcista tras divulgar vulnerabilidad crítica
María González · Empresas y Resultados · 2026-09-12
Wedbush puso Buy con target de $400 el miércoles. El jueves la acción cayó 3% cuando la empresa confirmó un fallo de seguridad con acceso root en 80.000 firewalls corporativos.
Palo Alto Networks cayó un 3% el viernes 11 de septiembre tras publicar un aviso de seguridad sobre CVE-2026-0310, una vulnerabilidad crítica de <abbr title="Medida estándar de severidad de vulnerabilidades, de 0 a 10">CVSS</abbr> 9.2 en su software PAN-OS. La caída ocurrió apenas 24 horas después de que Wedbush asumiera cobertura con rating Buy y precio objetivo de $400, colocando a PANW en su lista de mejores ideas. Este viernes la acción cotiza en $330.65, acumulando -2.32% adicional mientras el mercado digiere el alcance del fallo.
Buffer overflow con privilegios de root en 80.000 empresas
La vulnerabilidad reside en el procesamiento XML de PAN-OS y permite a atacantes no autenticados ejecutar código arbitrario con privilegios de root en firewalls PA-Series, o causar denegación de servicio en equipos VM-Series. No requiere configuración especial: basta con acceso de red a la interfaz web de gestión o al plano de datos. Según estimaciones de la industria, los firewalls de Palo Alto protegen a más de 80.000 organizaciones empresariales a nivel mundial, ampliando el alcance de la exposición.
El aviso, publicado el 9 de septiembre, indicó que no había evidencia conocida de explotación maliciosa hasta esa fecha. Las versiones afectadas incluyen ramas PAN-OS 12.2.0–12.2.2, 12.1.5–12.1.9, 11.2.x, 11.1.x y 10.2.x, además de versiones correspondientes de Panorama y Prisma Access. Para un proveedor cuyo negocio es proteger redes críticas, admitir un fallo de root-level sin autenticación es un problema de credibilidad inmediata.
Racha de 101.8% en seis meses choca con patrón de CVEs críticos
PANW venía en racha. En los últimos seis meses subió 101.8%, superando el crecimiento del 85% del sector de seguridad según Zacks. El jueves 10 de septiembre cerró en $338.49 (+1.0%), respaldado por la cobertura de Wahrhaftig, quien destacó el potencial de fusiones y adquisiciones acretivas para añadir módulos a la plataforma.
Pero el mercado tiene memoria. CVE-2026-0310 es el tercer buffer overflow crítico que Palo Alto divulga este año: CVE-2026-0300 en mayo, CVE-2026-0288 en julio y ahora este. El patrón no pasa inadvertido. JPMorgan rebajó Chewy pese a beats operativos por cuestionar la sostenibilidad del margen; aquí la pregunta es si los clientes empresariales siguen confiando en un producto core que acumula fallos de severidad máxima.
- CVE-2026-0310: CVSS 9.2, buffer overflow en XML processing, ejecución de código con privilegios de root.
- Exposición: Más de 80.000 organizaciones empresariales usan firewalls afectados.
- Historial 2026: Tres CVEs críticos de buffer overflow en cuatro meses.
- Target de Wedbush: $400 (+18.17% desde el cierre del jueves anterior), basado en plataformización y M&A.
¿Comprar el pull-back o revaluar el riesgo?
Este viernes PANW cotiza -2.32% por debajo del cierre del jueves anterior ($338.49 vs. $330.65). El rango de 52 semanas es $139.57–$398.88; la acción está lejos de mínimos pero también a 17% del máximo alcanzado hace semanas. Wahrhaftig apuesta a que la empresa consolida su posición mediante adquisiciones y venta cruzada de módulos; el mercado vende porque un proveedor de seguridad que publica tres vulnerabilidades críticas en cuatro meses erosiona confianza, no la construye.
El contexto más amplio tampoco ayuda. Lululemon batió EPS pero el mercado castigó guidance débil; PANW no reporta resultados ahora, pero sí expone debilidad operativa justo cuando su valuación extendida (+101.8% en seis meses) exigía ejecución impecable. La pregunta para quien opera: ¿los 80.000 clientes parchean rápido y esto queda en anécdota, o el patrón de CVEs críticos se convierte en narrativa de riesgo estructural?