Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en productos de Fortinet

Resumen de la alerta

Fortinet ha publicado correcciones y medidas de mitigación para ocho vulnerabilidades críticas que afectan a varios productos de su catálogo, incluidos FortiOS, FortiManager, FortiAnalyzer, FortiSASE y sus variantes Cloud.

Los fallos podrían permitir, según el producto, servicio expuesto y configuración aplicada, la ejecución de código o comandos, el acceso no autorizado entre dominios virtuales, la manipulación de anuncios de enrutamiento o la interrupción del servicio.

La información disponible indica que no existe explotación conocida para los CVE incluidos en este aviso. No obstante, la criticidad de los impactos potenciales hace recomendable revisar con prioridad las versiones desplegadas y planificar la actualización o las medidas indicadas por Fortinet.

Recursos afectados

Las siguientes versiones están afectadas por al menos una de las vulnerabilidades notificadas:

• FortiOS: 8.0.0 a 8.0.1, 7.6.0 a 7.6.7, 7.4.0 a 7.4.12 y 7.2.0 a 7.2.13.
• FortiManager y FortiAnalyzer: 8.0.0 a 8.0.2, 7.6.0 a 7.6.7, 7.4.0 a 7.4.11 y todas las versiones de la rama 7.2.
• FortiManager Cloud y FortiAnalyzer Cloud: 8.0.1 a 8.0.2, 7.6.0 a 7.6.7, 7.4.1 a 7.4.11 y todas las versiones de la rama 7.2.
• FortiAnalyzer-BigData: 7.6.0 a 7.6.2 para CVE-2026-126170. Fortinet también identifica este producto en el boletín de CVE-2026-126260, sin detallar las versiones afectadas.
• FortiSASE: 26.3.1 y 26.3.1_a, además de todas las versiones de las ramas 26.2, 26.1, 25.4, 25.3, 25.2, 25.1.a y 25.1.
• FortiSASE-Sovereign: ramas 25, 25.3 y 25.4.

Descripción de las vulnerabilidades

El aviso reúne fallos de distinta naturaleza. Algunos afectan a mecanismos de autenticación y autorización, mientras que otros están relacionados con APIs, servicios de gestión, protocolos de enrutamiento, alta disponibilidad y componentes OFTP.

• CVE-2026-126253: un problema en la autenticación de OSPF permitiría a un atacante situado en una red adyacente distribuir anuncios de estado de enlace, o LSA, manipulados sin autenticarse.
• CVE-2026-126229: el uso de una clave controlada por el usuario en dmserver podría permitir a un administrador autenticado acceder a otros dominios virtuales, o VDOM, mediante solicitudes HTTP manipuladas.
• CVE-2026-126261: una comprobación de autorización incorrecta antes de validar la contraseña de registro podría permitir la ejecución de código o comandos sin autenticación a un atacante con acceso al servicio FGFM de FortiManager.
• CVE-2026-126170: una codificación incorrecta de la salida de la API JSON-RPC podría permitir la ejecución de código o comandos sin autenticación mediante peticiones HTTP manipuladas. Esta vulnerabilidad requiere que la API JSON esté habilitada.
• CVE-2026-126254: un error de truncamiento numérico en BGP podría permitir que un vecino iBGP configurado cause una denegación de servicio mediante paquetes manipulados.
• CVE-2026-126260: una vulnerabilidad de falsificación de solicitudes del lado del servidor, o SSRF, en OFTP podría permitir a un atacante sin autenticar ejecutar código o comandos mediante paquetes manipulados.
• CVE-2026-126259: un fallo de autenticación en el procesamiento de paquetes de alta disponibilidad podría permitir ejecutar comandos con privilegios de superadministrador. Afecta a configuraciones con FGSP y standalone-config-sync, o con escalado automático.
• CVE-2026-126262: una inyección SQL en OFTP podría permitir la ejecución de código o comandos sin autenticación en FortiAnalyzer y en FortiManager cuando estén habilitadas las funciones de FortiAnalyzer.

Impacto y nivel de riesgo

Las ocho vulnerabilidades están clasificadas como críticas. El impacto potencial más relevante es la ejecución de código o comandos, presente en varios de los fallos descritos. Dependiendo del caso, esta ejecución podría producirse sin autenticación, aunque existen condiciones específicas que limitan el escenario de explotación.

Entre esas condiciones se encuentran el acceso al servicio FGFM en CVE-2026-126261, la habilitación de la API JSON en CVE-2026-126170, la presencia de un vecino iBGP configurado en CVE-2026-126254 o el uso de configuraciones concretas de alta disponibilidad en CVE-2026-126259.

También se contemplan impactos sobre la segregación administrativa entre VDOM, la disponibilidad de los equipos y la integridad de los anuncios de enrutamiento OSPF. La fuente no informa de ataques activos ni de explotación confirmada para ninguno de los CVE incluidos.

Solución y medidas recomendadas

Fortinet recomienda aplicar las siguientes actualizaciones, de acuerdo con la rama utilizada:

• FortiOS: actualizar a 8.0.2, 7.6.8, 7.4.13 o 7.2.14, o a una versión posterior de la misma rama.
• FortiManager, FortiAnalyzer y variantes Cloud: actualizar a 7.6.8 o 7.4.12, o a una versión posterior de la rama correspondiente.
• FortiManager y FortiAnalyzer en rama 7.2: migrar a una rama corregida para resolver CVE-2026-126229.
• FortiManager y FortiAnalyzer en rama 8.0: instalar 8.0.2 para aplicar las correcciones disponibles y actualizar a 8.0.3 o posterior cuando se publique la corrección para CVE-2026-126170.
• FortiAnalyzer-BigData: actualizar a 7.6.3 o posterior cuando esté disponible para corregir CVE-2026-126170. Para CVE-2026-126260, debe confirmarse con Fortinet la versión corregida aplicable a este producto.
• FortiSASE: Fortinet ha aplicado la corrección en la versión 26.3.2. Para las ramas anteriores afectadas, debe realizarse la migración a una versión corregida.
• FortiSASE-Sovereign: las ramas 25, 25.3 y 25.4 deben migrarse a una versión corregida.

Como medida temporal para CVE-2026-126170, hasta instalar la corrección correspondiente, Fortinet indica deshabilitar la API JSON en los perfiles de administrador afectados mediante set rpc-permit none, conforme al boletín FG-IR-26-219.

Para CVE-2026-126259, Fortinet ofrece un parche virtual incluido en la actualización FMWP 26.082, según el boletín FG-IR-26-273.

Recomendaciones para organizaciones afectadas

1. Identificar los activos afectados y comprobar las versiones instaladas de FortiOS, FortiManager, FortiAnalyzer, FortiSASE y sus variantes Cloud o Sovereign.
2. Priorizar los sistemas expuestos o con servicios relevantes habilitados, especialmente aquellos con acceso al servicio FGFM, API JSON activa, funciones de FortiAnalyzer habilitadas, OSPF, BGP, FGSP, standalone-config-sync o escalado automático

   Fuente: link

   Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen.

   TechConsulting muestra este contenido por creer en su fuente y como servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.

   Para más información o dudas en Ciberseguridad aplicada a la empresa, puede ver nuestro catálogo de productos en Servicios TechConsulting o puede contactar con nosotros para resolver cualquier cuestión que pueda tener.