Vulnerabilidades críticas en Fortinet 2026

Vulnerabilidad crítica - 28/01

Introducción

CVE-2026-24858 es una vulnerabilidad zero-day que ha estado siendo explotada en el mundo real y afecta a varios productos de seguridad de Fortinet.

Análisis

CVE-2026-24858 - CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:H/RL:O/RC:C - 9,4

CVE-2026-24858 permite a un atacante con una cuenta de FortiCloud y un dispositivo registrado iniciar sesión en otros dispositivos de Fortinet registrados en otras cuentas si la autenticación FortiCloud SSO está habilitada en esos dispositivos. La vulnerabilidad está siendo explotada activamente. Los atacantes han aprovechado la vulnerabilidad para acceder a dispositivos, crear cuentas de administrador locales, modificar configuraciones y posiblemente exfiltrar datos. La función FortiCloud SSO no está habilitada por defecto en todos los dispositivos, por lo que el riesgo depende de la configuración específica de cada instalación.

Versiones afectadas

• FortiAnalyzer 7.0 versión 7.0.0 a 7.0.15
• FortiAnalyzer 7.2 versión 7.2.0 a 7.2.11
• FortiAnalyzer 7.4 versión 7.4.0 a 7.4.9
• FortiAnalyzer 7.6 versión 7.6.0 a 7.6.5
• FortiManager 7.0 versión 7.0.0 a 7.0.15
• FortiManager 7.2 versión 7.2.0 a 7.2.11
• FortiManager 7.4 versión 7.4.0 a 7.4.9
• FortiManager 7.6 versión 7.6.0 a 7.6.5
• FortiOS 7.0 versión 7.0.0 a 7.0.18
• FortiOS 7.2 versión 7.2.0 a 7.2.12
• FortiOS 7.4 versión 7.4.0 a 7.4.10
• FortiOS 7.6 versión 7.6.0 a 7.6.5
• FortiProxy 7.0 todas las versiones
• FortiProxy 7.2 todas las versiones
• FortiProxy 7.4 versión 7.4.0 a 7.4.12
• FortiProxy 7.6 versión 7.6.0 a 7.6.4

Recomendaciones

Actualizar los dispositivos afectados.

Workarounds

La autenticación SSO de FortiCloud ya no admite el inicio de sesión desde dispositivos que ejecutan versiones vulnerables, por lo que no es necesario deshabilitar el inicio de sesión SSO de FortiCloud en el cliente.

Referencias

• https://fortiguard.fortinet.com/psirt/FG-IR-26-060
• https://www.cisa.gov/news-events/alerts/2026/01/27/cisa-adds-one-known-exploited-vulnerability-catalog
• https://www.hkcert.org/security-bulletin/fortinet-products-security-restriction-bypass-vulnerability_20260128
• https://thehackernews.com/2026/01/fortinet-patches-cve-2026-24858-after.html

Vulnerabilidad crítica - 10/02

Introducción

CVE-2026-21643 es una vulnerabilidad de inyección SQL (SQLi) que se encuentra en la funcionalidad de FortiClientEMS 7.4.4. La falla se debe a una neutralización inadecuada de elementos especiales en comandos SQL, lo que permite que un atacante remoto inyecte código malicioso a través de solicitudes HTTP específicamente diseñadas. La vulnerabilidad se explota al enviar solicitudes HTTP especialmente construidas a interfaces web o API que procesan entradas sin validación. Debido a la falta de neutralización de caracteres especiales, la entrada inyectada modifica la intención original de la consulta SQL y puede transformarse en una instrucción dañina o en ejecución de código en el servidor.

Análisis

CVE-2026-21643 -  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - 9,8

La explotación se basa en enviar solicitudes HTTP maliciosas al componente web del FortiClientEMS que no valida correctamente los parámetros antes de incorporarlos a consultas SQL. Esto permite inyectar sentencias SQL que pueden ser encadenadas para acceder o modificar datos en la base de datos, ejecutar código en el servidor y comprometer el sistema. El mecanismo técnico probable de explotación incluye la inyección de metacaracteres SQL que alteran la estructura de consultas compuestas con cadenas de entrada, el encadenamiento de técnicas de SQLi a ejecución de comandos del sistema operativo y la manipulación de parámetros en API web o formularios no validados, aprovechando la interfaz del servidor administrativo.

Recomendaciones

Actualizar a la versión 7.4.5 o superior. Las versiones 8.0 y 7.2 no están afectadas.

Workarounds

No hay workarounds para esta vulnerabilidad.

Referencias

• https://fortiguard.fortinet.com/psirt/FG-IR-25-1142
• https://ciberseguridad.euskadi.eus/noticia/2026/vulnerabilidad-de-inyeccion-sql-sqli-en-la-interfaz-administrativa-que-afecta-a-forticlient-ems/webcyb00-contcibglos/es/
• https://thehackernews.com/2026/02/fortinet-patches-critical-sqli-flaw.html

Vulnerabilidad crítica - 06/04

Introducción

CVE‑2026‑35616 afecta a Fortinet FortiClient EMS, un sistema de gestión centralizada empleado para administrar clientes y políticas de seguridad en endpoints corporativos. Esta falla se debe a un problema de control de acceso (CWE‑284) que permite a un atacante remoto sin necesidad de autenticación enviar solicitudes manipuladas al API del sistema, con el potencial de ejecutar código o comandos de manera no autorizada y comprometer la confidencialidad, integridad y disponibilidad de los sistemas administrados. La explotación de esta vulnerabilidad no requiere interacción por parte de usuarios legítimos y puede ser realizada directamente a través de la red, lo que aumenta su riesgo operativo. Esta vulnerabilidad ha sido explotada.

Análisis

CVE-2026-35616 - CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - 9,8

CVE‑2026‑35616 se origina en un defecto de control de acceso en la API del sistema, lo que permite que un actor no autenticado envíe solicitudes maliciosas que el servidor procesa sin validar correctamente su autorización. Esta deficiencia puede derivar en la ejecución remota de comandos, comprometiendo de manera directa la confidencialidad, integridad y disponibilidad de los sistemas gestionados.

El mecanismo de explotación se basa en la capacidad de enviar peticiones manipuladas que el servidor EMS interpreta como válidas. Una vez ejecutadas, estas peticiones pueden otorgar al atacante control total sobre el servidor, incluyendo la modificación de políticas de seguridad y la gestión de endpoints. La vulnerabilidad es crítica debido a que no requiere privilegios previos ni interacción del usuario, y puede ser explotada desde cualquier ubicación con acceso a la red del servidor afectado. Esto aumenta significativamente el riesgo de compromiso de la infraestructura corporativa, incluyendo la posibilidad de movimientos laterales y exfiltración de información sensible.

Versiones afectadas

FortiClientEMS 7.4.5 hasta 7.4.6.

Recomendaciones

• Actualizar FortiClient EMS a una versión parcheada
• Reducir la exposición de la interfaz vulnerable mientras se parchea
• Inspección de logs de API, eventos de comando remoto y actividad anómala

Workarounds

No hay workarounds para esta vulnerabilidad.

Referencias

• https://fortiguard.fortinet.com/psirt/FG-IR-26-099
• https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-031/
• https://thehackernews.com/2026/04/fortinet-patches-actively-exploited-cve.html

Vulnerabilidad crítica - 07/10

Introducción

CVE-2026-104286 es una vulnerabilidad en FortiMail, la pasarela de seguridad de correo electrónico de Fortinet, que filtra spam, phishing y malware en el correo entrante y saliente, con una puntuación CVSS 3.1 de 9.8 (Crítico).

Es explotable de forma remota a través de la red (AV:N), con baja complejidad (AC:L), sin privilegios (PR:N) y sin interacción del usuario (UI:N). El ámbito es inalterado (S:U), de modo que el impacto queda dentro del propio dispositivo. Aun así, la afectación a confidencialidad, integridad y disponibilidad es Alta (C:H/I:H/A:H). En la práctica permite a un atacante remoto no autenticado escribir ficheros arbitrarios en el sistema subyacente, y Fortinet clasifica el impacto como ejecución de código o comandos no autorizados.

Fortinet confirma que la vulnerabilidad ha sido explotada en entornos reales (zero-day), y distintas fuentes indican que CISA la incorporó a su catálogo KEV el 1 de octubre de 2026, con plazo de remediación para agencias federales estadounidenses hasta el 4 de octubre (ya vencido). La corrección figura en las versiones 8.0.2, 7.6.7 y 7.4.9 según el advisory del fabricante (ver Referencias).

Análisis

El fallo se clasifica como CWE-22 (Path Traversal) combinado con CWE-158 (neutralización incorrecta de bytes nulos). Un atacante puede enviar peticiones HTTP o HTTPS manipuladas que escapan del directorio previsto y escriben ficheros en ubicaciones arbitrarias. Fortinet sitúa el componente en la interfaz GUI. El workaround y los indicadores publicados apuntan a la funcionalidad de cifrado basado en identidad (IBE) y a peticiones POST al endpoint /ibe con secuencias ../.

La explotabilidad es máxima: no se requiere cuenta, privilegios ni interacción de usuario, solo conectividad de red hacia la interfaz afectada (la de IBE o webmail). Las instancias con esa interfaz accesible desde Internet son las de mayor riesgo. Los indicadores de compromiso de Fortinet incluyen tareas cron anómalas, la creación de una cuenta de archivo remoto hacia la IP maliciosa 79[.]141.169.187 y errores de decodificación Base64 en los registros de IBE.

Una pasarela de correo comprometida expone el tráfico de correo corporativo, las políticas antispam y antimalware y las credenciales almacenadas. Además, ofrece un punto de apoyo en el perímetro para el movimiento lateral.

La medida prioritaria y definitiva es actualizar a una versión corregida. LAB52 recomienda, además, no exponer a Internet la interfaz de administración ni la de webmail e IBE de FortiMail, y restringirla a redes internas de confianza mediante segregación de red, VPN o ZTNA. También recomienda aplicar el workaround de Fortinet hasta completar el parcheo, revisar los indicadores de compromiso publicados y monitorizar peticiones POST a /ibe, tareas cron inesperadas y cambios de configuración de cuentas de archivo.

Versiones afectadas

Consultar el advisory del fabricante para conocer el detalle de las versiones vulnerables. Según FG-IR-26-175:

• FortiMail 8.0.0 a 8.0.1 (solución: actualizar a 8.0.2 o superior)
• FortiMail 7.6.0 a 7.6.6 (solución: actualizar a 7.6.7 o superior)
• FortiMail 7.4.0 a 7.4.8 (solución: actualizar a 7.4.9 o superior)
• FortiMail 7.2.0 a 7.2.9 (solución: migrar a la rama 7.4 o superior)

Recomendaciones

1. Aplicar con carácter urgente la actualización oficial que corrige CVE-2026-104286 (8.0.2, 7.6.7 o 7.4.9 o superiores), verificando en el advisory vigente que la versión está disponible, y migrar las instancias 7.2 a la rama 7.4 o superior.
2. Consultar el advisory FG-IR-26-175 de Fortinet y la entrada de CISA KEV para confirmar versiones, indicadores y mitigaciones actualizadas.
3. Si el parcheo no es inmediato, aplicar el workaround oficial (deshabilitar IBE o restringir el acceso a webmail desde Internet) y, si existe un WAF, bloquear los POST a /ibe que contengan ../.
4. Revisar el inventario de activos para identificar todos los FortiMail (físicos, virtuales y de respaldo), en especial los expuestos a Internet.
5. Monitorizar los registros en busca de los IoC publicados (IPs 79[.]141.169.187 y 45[.]129.0.192, tareas cron anómalas, nuevas cuentas de archivo remoto y errores Base64 de IBE).
6. Tratar las instancias que hayan estado expuestas como posibles casos de respuesta a incidentes: preservar evidencias, revisar la integridad del sistema y rotar credenciales y secretos almacenados.

Workarounds

Fortinet propone estas mitigaciones temporales, que no sustituyen al parche oficial:

• Deshabilitar la funcionalidad IBE desde la GUI (Encryption → IBE → IBE Service «off») o por CLI con config system encryption ibe, set status disable y end.
• Alternativamente, deshabilitar el acceso a la interfaz webmail desde Internet o limitarlo a redes privadas de confianza.
• Si hay un WAF delante de FortiMail, bloquear las peticiones POST a /ibe que contengan ../.

Referencias

• https://fortiguard.fortinet.com/psirt/FG-IR-26-175
• https://www.cve.org/CVERecord?id=CVE-2026-104286
• https://nvd.nist.gov/vuln/detail/CVE-2026-104286
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• CWE-22: Improper Limitation of a Pathname to a Restricted Directory («Path Traversal»), https://cwe.mitre.org/data/definitions/22.html
• CWE-158: Improper Neutralization of Null Byte or NUL Character, https://cwe.mitre.org/data/definitions/158.html