Ir al contenido
Todos los artículos

· por NetProtector Security Team

Fortinet: la vulnerabilidad de FortiCloud SSO afecta también a FortiGates ya parcheados

Ilustración: una clave de inicio de sesión procedente de la nube abre las cerraduras de varios firewalls ajenos y se crean nuevas cuentas de administrador

Quien registra su FortiGate en FortiCare suele activar de paso una función práctica: el inicio de sesión de administrador mediante FortiCloud Single Sign-On. Precisamente a través de ella, los atacantes han podido iniciar sesión recientemente como administrador en firewalls ajenos, incluso en dispositivos que tenían instaladas todas las actualizaciones de diciembre. Fortinet publicó la vulnerabilidad CVE-2026-24858 el 27 de enero de 2026, y la agencia estadounidense CISA la incorporó ese mismo día a su catálogo de vulnerabilidades explotadas activamente.

De qué se trata

FortiCloud SSO permite iniciar sesión con la cuenta de FortiCloud directamente en la interfaz de administración de un FortiGate registrado. De fábrica, la función está desactivada. Sin embargo, al registrar el dispositivo se activa, a menos que el administrador desactive expresamente la opción «Allow administrative login using FortiCloud SSO». El fallo: un atacante con su propia cuenta de FortiCloud y su propio dispositivo registrado podía utilizarla para iniciar sesión también en dispositivos pertenecientes a otras cuentas.

Los datos clave según el advisory de Fortinet FG-IR-26-060 del 27 de enero de 2026:

  • Gravedad: crítica, CVSS 9.8 en el advisory actual. En los primeros informes se hablaba de 9.4: ese es el valor temporal, que tiene en cuenta el estado de la explotación y del parche.
  • Afectados: FortiOS 7.0 a 7.6 (hasta 7.6.5, 7.4.10, 7.2.12 y 7.0.18, inclusive), así como FortiProxy 7.0 a 7.6. También están afectados FortiManager, FortiAnalyzer, FortiWeb y FortiSwitchManager. FortiOS 8.0 y 6.4 no lo están, como tampoco las instalaciones que utilizan su propio proveedor de identidad, por ejemplo FortiAuthenticator.
  • Corregido en: FortiOS 7.6.6, 7.4.11, 7.2.13 y 7.0.19, o bien FortiProxy 7.6.5, 7.4.13, 7.2.16 y 7.0.23. Las actualizaciones se publicaron de forma escalonada en los días posteriores al advisory.
  • Requisito para el ataque: una cuenta de FortiCloud con un dispositivo registrado por parte del atacante y el inicio de sesión mediante FortiCloud SSO activado en el dispositivo objetivo. El atacante no necesita las credenciales de la víctima.
  • Consecuencia: acceso de administrador al firewall y, con ello, a su configuración, sus cuentas y sus ajustes de VPN.

Por qué es urgente

La vulnerabilidad tiene antecedentes. El 9 de diciembre de 2025, Fortinet había publicado otros dos fallos en la misma función, CVE-2025-59718 y CVE-2025-59719. Se habían detectado en una revisión interna del código, pero apenas unos días después ya se estaban explotando activamente: la CISA catalogó CVE-2025-59718 como atacada a partir del 16 de diciembre. Quien actualizó rápidamente entonces podía sentirse seguro.

Sin embargo, a partir del 15 de enero de 2026, la empresa de seguridad Arctic Wolf observó una nueva oleada de ataques automatizados: inicios de sesión a través de FortiCloud SSO, seguidos inmediatamente de la descarga de la configuración del firewall, la creación de cuentas de administrador adicionales con nombres discretos como «secadmin» o «support» y cambios que otorgaban a esas cuentas acceso VPN. Todo ello en pocos segundos. También se vieron afectados dispositivos que estaban completamente parcheados: Fortinet confirmó que se había utilizado una nueva vía de ataque.

Fortinet bloqueó las dos cuentas de FortiCloud utilizadas de forma abusiva, desactivó el 26 de enero el inicio de sesión mediante FortiCloud SSO en la nube para todos los clientes y lo volvió a poner en servicio un día después, ya sin soporte para las versiones vulnerables. Se trata de una medida de un alcance inusual, que protegió también a los dispositivos sin parchear frente a nuevos inicios de sesión por esta vía. Para los dispositivos ya comprometidos, en cambio, llegó demasiado tarde: las cuentas creadas y las configuraciones extraídas permanecen.

Precisamente eso hace que el caso sea delicado. Una configuración exportada contiene los hashes de contraseñas, que pueden descifrarse offline. Y una cuenta de administrador creada localmente sigue funcionando aunque la vulnerabilidad de SSO se haya cerrado hace tiempo. En sus publicaciones, Fortinet y Arctic Wolf no han atribuido los ataques a ningún grupo concreto.

Qué debe hacer ahora

  1. Actualice. Instale como mínimo FortiOS 7.6.6, 7.4.11, 7.2.13 o 7.0.19 y, para FortiProxy, las versiones indicadas anteriormente. Compruebe también FortiManager, FortiAnalyzer, FortiWeb y FortiSwitchManager conforme al advisory.
  2. Revise el inicio de sesión mediante FortiCloud SSO. Si no necesita la función, desactívela en System > Settings («Allow administrative login using FortiCloud SSO») o por CLI con set admin-forticloud-sso-login disable dentro de config system global.
  3. Restrinja el acceso de administración. La interfaz de administración no debería ser accesible libremente desde Internet. Fortinet recomienda un acceso de administración separado o, al menos, una local-in policy que solo permita direcciones IP conocidas.
  4. Revise logs y cuentas. Busque inicios de sesión SSO de cuentas desconocidas, configuraciones descargadas y cuentas de administrador que nadie haya creado de forma consciente. En su advisory, Fortinet indica cuentas y direcciones IP como indicadores, pero los nombres cambiaron durante los ataques, así que revise todas las cuentas.
  5. En caso de sospecha, trate el dispositivo y su configuración como comprometidos: elimine las cuentas desconocidas y los cambios de VPN o cargue una configuración limpia y restablezca todas las credenciales, incluidas las de las cuentas LDAP o AD vinculadas.

Qué significa esto para la protección de los firewalls

El caso pone de manifiesto un problema que afecta a todo el sector y no solo a un fabricante: el firewall es el dispositivo que debe proteger la red y, al mismo tiempo, uno de los objetivos más rentables dentro de ella. Cada función accesible desde el exterior —portal VPN, interfaz de administración, inicio de sesión en la nube— es un posible punto de entrada. Y, como en este caso, entre los primeros ataques y el parche definitivo puede haber un intervalo de días en el que incluso los dispositivos mantenidos con esmero quedan expuestos.

NetProtector complementa el firewall en este punto con una capa adicional. El appliance se instala en línea delante del firewall e inspecciona el tráfico antes de que llegue a él:

  • Las fuentes de ataque conocidas se quedan fuera. Quien sondea de forma masiva firewalls en Internet en busca de vulnerabilidades rara vez lo hace con un único objetivo. Las direcciones que la red de sensores de NetProtector ya ha detectado en este tipo de actividades se bloquean antes de que lleguen siquiera a su dispositivo.
  • Los patrones inusuales se hacen visibles. Los escaneos sistemáticos en busca de interfaces de administración, los intentos de inicio de sesión acumulados o los accesos a un ritmo que ningún humano produce son anomalías que NetProtector detecta y notifica.
  • Más margen hasta la actualización. NetProtector no cierra ninguna vulnerabilidad del firewall: eso solo puede hacerlo el parche. Pero reduce el número de atacantes que llegan siquiera al firewall en el periodo crítico entre la divulgación y la actualización.
Anomalías en el tráfico: patrones a través de la red de sensores
Tráfico normal Anomalía en el tráfico Patrón detectado entre sensores

Cómo detecta NetProtector estos patrones y cómo se integra entre el router y el firewall sin necesidad de rediseñar la red se explica en la página Cómo funciona NetProtector.

Nuestra valoración

Fortinet reaccionó con rapidez y coherencia: desactivar sin más el inicio de sesión en la nube para todos fue un paso incómodo, pero eficaz. Aun así, el caso es aleccionador: las funciones de comodidad, como un inicio de sesión en la nube, amplían la superficie de ataque, a menudo sin que nadie sea consciente de ello. Y una actualización cierra la vulnerabilidad, pero no elimina lo que los atacantes hayan dejado antes. Por eso, una buena protección empieza por preguntarse qué funciones debe ofrecer realmente un firewall hacia el exterior, y continúa con actualizaciones rápidas, el control de cuentas y logs y una capa de protección delante del firewall que intercepte a los atacantes antes de que puedan siquiera intentarlo.

Fuentes