El CVE-2026-24858 es una vulnerabilidad de bypass de autenticación (SSO) en múltiples productos de Fortinet. Un atacante remoto sin credenciales puede evadir el inicio de sesión de administrador en dispositivos Fortinet aprovechando el mecanismo de Single Sign-On (SSO) de FortiCloud. En concreto, un usuario malicioso con su propia cuenta de FortiCloud (y al menos un dispositivo Fortinet registrado en ella) puede autenticarse como administrador en dispositivos de otros usuarios si estos tienen habilitada la función de SSO con FortiCloud. Esto ocurre debido a un fallo en el proceso de SSO que permite una ruta alternativa de autenticación, posibilitando el acceso no autorizado.
Es importante señalar que, por defecto, la función de FortiCloud SSO está desactivada en los equipos Fortinet. Sin embargo, al registrar un dispositivo en FortiCare (el portal de cuentas de Fortinet) mediante la interfaz web, el sistema activa automáticamente el SSO con FortiCloud a menos que el administrador desmarque la opción «Allow administrative login using FortiCloud SSO» durante el registro. Esto implica que muchos administradores pueden haber habilitado SSO sin darse cuenta, dejando sus dispositivos expuestos al fallo.
La vulnerabilidad afecta principalmente a las ramas de firmware 7.x de varios productos de Fortinet. A continuación, se resumen los productos confirmados como vulnerables y los rangos de versiones afectadas:
| Producto | Versiones vulnerables |
|---|---|
| FortiOS (FortiGate) | 7.0.0 hasta 7.0.18; 7.2.0 hasta 7.2.12; 7.4.0 hasta 7.4.10; 7.6.0 hasta 7.6.5 |
| FortiManager | 7.0.0 hasta 7.0.15; 7.2.0 hasta 7.2.11; 7.4.0 hasta 7.4.9; 7.6.0 hasta 7.6.5 |
| FortiAnalyzer | 7.0.0 hasta 7.0.15; 7.2.0 hasta 7.2.11; 7.4.0 hasta 7.4.9; 7.6.0 hasta 7.6.5 |
| FortiProxy | 7.0.0 hasta 7.0.22; 7.2.0 hasta 7.2.15; 7.4.0 hasta 7.4.12; 7.6.0 hasta 7.6.4 |
| FortiWeb | 7.4.0 hasta 7.4.11; 7.6.0 hasta 7.6.6; 8.0.0 hasta 8.0.3 |
(FortiSwitch Manager estaba bajo investigación al momento de revelarse el CVE, dada la similitud con vulnerabilidades previas.)
Impacto y severidad
El impacto del CVE-2026-24858 es crítico. Un atacante que explote esta vulnerabilidad obtiene acceso administrativo completo a dispositivos de terceros, pudiendo controlar por completo los firewalls y equipos Fortinet afectados. Dado que el atacante logra autenticarse como administrador, puede realizar cualquier acción: por ejemplo, extraer configuraciones sensibles (reglas de firewall, credenciales, certificados), modificar la configuración de seguridad (como abrir accesos VPN no autorizados), e incluso crear cuentas de administrador locales para mantener acceso persistente. En prácticamente todos los casos observados, los atacantes crearon nuevos usuarios con nombres genéricos como “audit”, “backup”, “secadmin”, etc., para garantizarse acceso continuo incluso si se revoca la cuenta SSO comprometida.
Fortinet asignó a esta vulnerabilidad una puntuación CVSS crítica (en el rango de 9.4 a 9.8 sobre 10). Asimismo, el U.S. CISA la ha incluido en su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) dada la evidencia de explotación activa en entornos reales. De hecho, las agencias federales de EE.UU. recibieron orden de corregir este fallo antes del 30 de enero de 2026, resaltando la gravedad y urgencia del asunto.
Mitigaciones, parches y recomendaciones
Fortinet publicó actualizaciones de emergencia para remediar el CVE-2026-24858 en sus productos principales tan pronto como estuvieron listas. Las versiones firmadas el 27-28 de enero de 2026 corrigen la vulnerabilidad en FortiOS, FortiManager, FortiAnalyzer, FortiProxy (y posteriormente FortiWeb). En particular, las versiones mínimas que contienen el parche son: FortiOS 7.0.19 / 7.2.13 / 7.4.11 / 7.6.6 o superiores, FortiManager 7.0.16 / 7.2.13 / 7.4.10 / 7.6.6, FortiAnalyzer 7.0.16 / 7.2.12 / 7.4.10 / 7.6.6, FortiProxy 7.4.13 / 7.6.6, etc..
Se recomienda encarecidamente actualizar todos los dispositivos Fortinet a las versiones más recientes. Cabe destacar que FortiCloud ahora rechaza las conexiones SSO de dispositivos no parcheados, por lo que actualizar es requisito si desea seguir usando el SSO de FortiCloud.
En resumen, el CVE-2026-24858 representa una seria amenaza para cualquier entorno con dispositivos Fortinet, dado que permite a atacantes tomar el control administrativo de forma remota. Aplicar los parches lo antes posible es la acción más importante. Adicionalmente, desactivar el SSO de FortiCloud y reforzar la seguridad perimetral de la administración reducirá significativamente el riesgo mientras se completan las actualizaciones. Esta vulnerabilidad pone en alza los peligros de los zero-day y la importancia de monitorizar de cerca los avisos de seguridad de los fabricantes, ya que en este caso específico los atacantes se adelantaron a las correcciones y aprovecharon una debilidad no prevista en el parche inicial.
Más información
- NVD (CVE-2026-24858) – Detalles oficiales del CVE en la base de datos NVD/NIST: https://nvd.nist.gov/vuln/detail/CVE-2026-24858
- Aviso de Fortinet PSIRT (FG-IR-26-060) – Advisory público de Fortinet describiendo la vulnerabilidad y productos afectados: https://www.fortiguard.com/psirt/FG-IR-26-060
- Fortinet Blog PSIRT – Análisis técnico de Fortinet sobre la vulnerabilidad SSO y actividades maliciosas observadas: https://www.fortinet.com/blog/psirt-blogs/analysis-of-sso-abuse-on-fortios
- Catálogo CISA KEV – Inclusión de esta vulnerabilidad en el listado de fallos explotados activamente por CISA: https://www.cisa.gov/news-events/alerts/2026/01/27/cisa-adds-one-known-exploited-vulnerability-catalog
Deja una respuesta