{"id":4978,"date":"2026-02-02T12:41:37","date_gmt":"2026-02-02T17:41:37","guid":{"rendered":"https:\/\/cert.pa\/?p=4978"},"modified":"2026-02-02T12:41:39","modified_gmt":"2026-02-02T17:41:39","slug":"csirt-panama-aviso-2026-ene-27-fortinet-fg%e2%80%91ir%e2%80%9126%e2%80%91060","status":"publish","type":"post","link":"https:\/\/cert.pa\/?p=4978","title":{"rendered":"CSIRT Panam\u00e1 Aviso 2026-Ene-27 \u2013 Fortinet (FG\u2011IR\u201126\u2011060)"},"content":{"rendered":"\n<p>CSIRT Panam\u00e1 Aviso 2026-Ene-27 \u2013 Fortinet (FG\u2011IR\u201126\u2011060)<\/p>\n\n\n\n<p>Fecha de publicaci\u00f3n: 30 de enero de 2026<\/p>\n\n\n\n<p>\u00daltima revisi\u00f3n: 30 de enero de 2026<\/p>\n\n\n\n<p>Gravedad: Critico<\/p>\n\n\n\n<p>Sistema Afectados: FortiAnalyzer 7.0.0 &#8211; 7.6.5. FortiManager 7.0.0 \u2013 7.6.5, FortiOS 7.0.0 \u2013 7.2.12, FortiProxy 7.0.0 \u2013 7.6.4, FortiWeb 7.4.0 \u2013 8.0.3.<\/p>\n\n\n\n<p>I. Descripci\u00f3n<\/p>\n\n\n\n<p>Fortinet ha identificado una vulnerabilidad cr\u00edtica de bypass de autenticaci\u00f3n en FortiCloud Single Sign\u2011On (SSO) que permite a un atacante con una cuenta FortiCloud v\u00e1lida y un dispositivo registrado autenticarse con privilegios administrativos en otros dispositivos asociados a cuentas FortiCloud distintas, siempre que la funcionalidad FortiCloud SSO est\u00e9 habilitada.<\/p>\n\n\n\n<p>La falla, clasificada como Authentication Bypass Using an Alternate Path or Channel (CWE\u2011288), rompe el aislamiento entre cuentas en el flujo de SSO y no requiere credenciales del dispositivo objetivo, lo que puede derivar en la toma completa del sistema, incluyendo creaci\u00f3n de cuentas persistentes y extracci\u00f3n de configuraciones sensibles. La vulnerabilidad afecta a varios productos de Fortinet, entre ellos FortiOS, FortiManager, FortiAnalyzer y FortiProxy, y fue explotada activamente antes de la aplicaci\u00f3n de medidas de contenci\u00f3n para versiones vulnerables.<\/p>\n\n\n\n<p>II. Detalle&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<\/p>\n\n\n\n<p>La vulnerabilidad, identificada como CVE\u20112026\u201124858, se manifiesta espec\u00edficamente cuando FortiCloud SSO est\u00e1 habilitado, permitiendo la omisi\u00f3n de los controles de autenticaci\u00f3n administrativa mediante un flujo alternativo de inicio de sesi\u00f3n. Si bien esta funcionalidad no se encuentra habilitada por defecto, puede activarse durante el proceso de registro del dispositivo en FortiCare si el administrador no deshabilita expl\u00edcitamente dicha opci\u00f3n, exponiendo el entorno sin una configuraci\u00f3n consciente.<\/p>\n\n\n\n<p>Tras detectar explotaci\u00f3n activa en entornos reales, Fortinet deshabilit\u00f3 temporalmente FortiCloud SSO a nivel de servicio y, al restablecerlo, bloque\u00f3 los inicios de sesi\u00f3n desde versiones vulnerables, requiriendo la actualizaci\u00f3n a versiones corregidas para mantener el uso del servicio.<\/p>\n\n\n\n<p>A continuaci\u00f3n, se resumen los productos y versiones afectados por esta vulnerabilidad y las ramas para las que Fortinet ha publicado correcciones o rutas de actualizaci\u00f3n:<\/p>\n\n\n\n<p><strong>Dispositivos afectados y vulnerabilidades<\/strong><\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><tbody><tr><td>Producto<\/td><td>Versiones vulnerables<\/td><td>Notas sobre correcciones<\/td><\/tr><tr><td>FortiOS<\/td><td>7.6.0 \u2013 7.6.5, 7.4.0 \u2013 7.4.10, 7.2.0 \u2013 7.2.12, 7.0.0 \u2013 7.0.18<\/td><td>Actualizaciones disponibles o programadas para versiones superiores a las listadas.<\/td><\/tr><tr><td>FortiManager<\/td><td>7.6.0 \u2013 7.6.5, 7.4.0 \u2013 7.4.9, 7.2.0 \u2013 7.2.11, 7.0.0 \u2013 7.0.15<\/td><td>Versiones parcheadas posteriores a las afectadas deben aplicarse.<\/td><\/tr><tr><td>FortiAnalyzer<\/td><td>7.6.0 \u2013 7.6.5, 7.4.0 \u2013 7.4.9, 7.2.0 \u2013 7.2.11, 7.0.0 \u2013 7.0.15<\/td><td>Actualizaci\u00f3n recomendada a versiones corregidas superiores.<\/td><\/tr><tr><td>FortiProxy<\/td><td>7.6.0 \u2013 7.6.4, 7.4.0 \u2013 7.4.12, todas 7.2.x y 7.0.x<\/td><td>Migrar o actualizar a versiones con correcci\u00f3n.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p>III. Referencia a soluciones, herramientas e informaci\u00f3n<\/p>\n\n\n\n<p>Soluci\u00f3n recomendada:<\/p>\n\n\n\n<p>Para mitigar la vulnerabilidad identificada, se recomienda actualizar el software afectado a las versiones corregidas publicadas por el fabricante:<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><tbody><tr><td>Versiones<\/td><td>Soluci\u00f3n<\/td><\/tr><tr><td>FortiAnalyzer 7.6<\/td><td>Actualizar a la versi\u00f3n 7.6.6 o superior<\/td><\/tr><tr><td>FortiAnalyzer 7.4<\/td><td>Actualizar a la versi\u00f3n 7.4.10 o superior<\/td><\/tr><tr><td>FortiAnalyzer 7.2<\/td><td>Actualizar a la pr\u00f3xima 7.2.12 o superior<\/td><\/tr><tr><td>FortiAnalyzer 7.0<\/td><td>Actualizar a la pr\u00f3xima versi\u00f3n 7.0.16 o superior<\/td><\/tr><tr><td>FortiAnalyzer 6.4<\/td><td>No aplicable<\/td><\/tr><tr><td>FortiManager 8.0<\/td><td>No aplicable<\/td><\/tr><tr><td>FortiManager 7.6<\/td><td>Actualizar a la versi\u00f3n 7.6.6 o superior<\/td><\/tr><tr><td>FortiManager 7.4<\/td><td>Actualizar a la versi\u00f3n 7.4.10 o superior<\/td><\/tr><tr><td>FortiManager 7.2<\/td><td>Actualizar a la pr\u00f3xima 7.2.12 o superior&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<\/td><\/tr><tr><td>FortiManager 7.0<\/td><td>Actualizar a la pr\u00f3xima versi\u00f3n 7.0.16 o superior<\/td><\/tr><tr><td>FortiManager 6.4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<\/td><td>No aplicable<\/td><\/tr><tr><td>FortiOS 8.0<\/td><td>No aplicable<\/td><\/tr><tr><td>FortiOS 7.6<\/td><td>Actualizar a la versi\u00f3n 7.6.6 o superior<\/td><\/tr><tr><td>FortiOS 7.4<\/td><td>Actualizar a la 7.4.11 o superior<\/td><\/tr><tr><td>FortiOS 7.2<\/td><td>Actualizar a la pr\u00f3xima 7.2.13 o superior<\/td><\/tr><tr><td>FortiOS 7.0<\/td><td>Actualizar a la pr\u00f3xima versi\u00f3n 7.0.19 o superior<\/td><\/tr><tr><td>FortiOS 6.4<\/td><td>No aplicable<\/td><\/tr><tr><td>FortiProxy 7.6<\/td><td>Actualizar a la pr\u00f3xima 7.6.6 o superior<\/td><\/tr><tr><td>FortiProxy 7.4<\/td><td>Actualizar a la pr\u00f3xima 7.4.13 o superior<\/td><\/tr><tr><td>FortiProxy 7.2<\/td><td>Actualizar a la pr\u00f3xima 7.2.16 o superior<\/td><\/tr><tr><td>FortiProxy 7.0<\/td><td>Actualizar a la pr\u00f3xima 7.0.23 o superior<\/td><\/tr><tr><td>FortiWeb 8.0<\/td><td>Actualizar a la pr\u00f3xima versi\u00f3n 8.0.4 o superior<\/td><\/tr><tr><td>FortiWeb 7.6<\/td><td>Actualizar a la pr\u00f3xima 7.6.7 o superior<\/td><\/tr><tr><td>FortiWeb 7.4<\/td><td>Actualizar a la pr\u00f3xima 7.4.12 o superior<\/td><\/tr><tr><td>FortiWeb 7.2<\/td><td>No aplicable<\/td><\/tr><tr><td>FortiWeb 7.0<\/td><td>No aplicable<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p>Soluci\u00f3n temporal:<\/p>\n\n\n\n<p><strong>1. Qu\u00e9 hacer de inmediato<\/strong><\/p>\n\n\n\n<p>Tanto Fortinet como el CCN-CERT recomiendan como primera acci\u00f3n:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Actualizar cuanto antes los equipos FortiOS, FortiManager, FortiAnalyzer y FortiProxy a las versiones corregidas indicadas en el aviso oficial.<\/li>\n\n\n\n<li>Revisar si el acceso mediante FortiCloud SSO est\u00e1 activado y asegurarse de que:\n<ul class=\"wp-block-list\">\n<li>est\u00e9 desactivado, o<\/li>\n\n\n\n<li>solo se utilice en equipos ya actualizados.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n\n\n\n<p>Actualizar es la forma m\u00e1s segura de eliminar el riesgo.<\/p>\n\n\n\n<p><strong>2. Si no es posible actualizar de inmediato<\/strong><\/p>\n\n\n\n<p>Fortinet ya ha aplicado controles para impedir el uso de esta vulnerabilidad en equipos antiguos, por lo que no es obligatorio realizar cambios urgentes si la actualizaci\u00f3n no puede hacerse en ese momento.<\/p>\n\n\n\n<p>Aun as\u00ed, como medida de precauci\u00f3n adicional, se recomienda desactivar el acceso administrativo mediante FortiCloud SSO, siguiendo estos pasos sencillos:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>En FortiOS y FortiProxy<\/li>\n\n\n\n<li>Entrar a la Configuraci\u00f3n del sistema.<\/li>\n\n\n\n<li>Buscar la opci\u00f3n \u201cPermitir inicio de sesi\u00f3n administrativo usando FortiCloud SSO\u201d.<\/li>\n\n\n\n<li>Cambiarla a Desactivado.<\/li>\n\n\n\n<li>En FortiManager y FortiAnalyzer<\/li>\n\n\n\n<li>Entrar a Configuraci\u00f3n del Sistema.<\/li>\n\n\n\n<li>Acceder a SAML SSO.<\/li>\n\n\n\n<li>Desactivar \u201cPermitir que los administradores inicien sesi\u00f3n con FortiCloud\u201d.<\/li>\n<\/ul>\n\n\n\n<p>Esta acci\u00f3n ayuda a reducir el riesgo mientras se planifica la actualizaci\u00f3n.<\/p>\n\n\n\n<p><strong>3. Revisi\u00f3n y monitoreo de seguridad<\/strong><\/p>\n\n\n\n<p>El CCN-CERT recomienda:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Revisar los accesos administrativos recientes.<\/li>\n\n\n\n<li>Analizar los registros del sistema en busca de comportamientos inusuales.<\/li>\n\n\n\n<li>Activar los procedimientos de respuesta a incidentes si se detecta actividad sospechosa.<\/li>\n<\/ul>\n\n\n\n<p><strong>4. Indicadores de posible compromiso<\/strong><\/p>\n\n\n\n<p>Para apoyar la detecci\u00f3n de actividad maliciosa, Fortinet publico los siguientes indicadores conocidos:<\/p>\n\n\n\n<p><strong>Cuentas SSO observadas en ataques<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"mailto:cloud-noc@mail.io\">cloud-noc@mail.io<\/a><\/li>\n\n\n\n<li>cloud-init@mail.io<\/li>\n\n\n\n<li><a href=\"mailto:heltaylor.12@tutamail.com\">heltaylor.12@tutamail.com<\/a><\/li>\n\n\n\n<li><a href=\"mailto:support@openmail.pro\">support@openmail.pro<\/a><br><br><\/li>\n<\/ul>\n\n\n\n<p><strong>Direcciones IP observadas<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>04.28.244.115<\/li>\n\n\n\n<li>104.28.212.114<\/li>\n\n\n\n<li>104.28.212.115<\/li>\n\n\n\n<li>104.28.195.105<\/li>\n\n\n\n<li>104.28.195.106<\/li>\n\n\n\n<li>104.28.227.106<\/li>\n\n\n\n<li>104.28.227.105<\/li>\n\n\n\n<li>104.28.195.106<\/li>\n\n\n\n<li>104.28.244.114<\/li>\n\n\n\n<li>163.61.198.15<\/li>\n\n\n\n<li>104.28.244.116<\/li>\n\n\n\n<li>38.54.6.28<\/li>\n<\/ul>\n\n\n\n<p>IPs adicionales observadas por un tercero:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>37[.]1.209.19<\/li>\n\n\n\n<li>217[.]119.139.50<\/li>\n<\/ul>\n\n\n\n<p>Estos datos pueden usarse para verificar registros y sistemas de monitoreo.<\/p>\n\n\n\n<p>Referencias:<\/p>\n\n\n\n<p><em>CCN-CERT AL 01\/26 Explotaci\u00f3n activa de vulnerabilidad cr\u00edtica en FortiCloud SSO<\/em>. (s.&nbsp;f.). <a href=\"https:\/\/www.ccn-cert.cni.es\/es\/seguridad-al-dia\/alertas-ccn-cert\/13129-ccn-cert-al-01-26-explotacion-activa-de-vulnerabilidad-critica-en-forticloud-sso.html\">https:\/\/www.ccn-cert.cni.es\/es\/seguridad-al-dia\/alertas-ccn-cert\/13129-ccn-cert-al-01-26-explotacion-activa-de-vulnerabilidad-critica-en-forticloud-sso.html<\/a><\/p>\n\n\n\n<p><em>PSIRT | FortiGuard Labs<\/em>. (s.&nbsp;f.). FortiGuard Labs. <a href=\"https:\/\/www.fortiguard.com\/psirt\/FG-IR-26-06\">https:\/\/www.fortiguard.com\/psirt\/FG-IR-26-06<\/a><\/p>\n\n\n\n<p><\/p>\n\n\n\n<p>IV. Informaci\u00f3n de contacto<br>CSIRT PANAMA<br>Computer Security Incident Response Team Autoridad Nacional para la Innovacion Gubernamental<br>E-Mail: incidentes@cert.pa<br>E-Mail: info@cert.pa<br>Phone: +507 520-CERT (2378)<br>Web: https:\/\/cert.pa<br>Key ID: 16F2B124<\/p>\n","protected":false},"excerpt":{"rendered":"<p>CSIRT Panam\u00e1 Aviso 2026-Ene-27 \u2013 Fortinet (FG\u2011IR\u201126\u2011060) Fecha de publicaci\u00f3n: 30 de enero de 2026 \u00daltima revisi\u00f3n: 30 de enero de 2026 Gravedad: Critico Sistema Afectados: FortiAnalyzer 7.0.0 &#8211; 7.6.5. FortiManager 7.0.0 \u2013 7.6.5, FortiOS&#8230;<\/p>\n","protected":false},"author":5,"featured_media":4979,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"_uf_show_specific_survey":0,"_uf_disable_surveys":false,"footnotes":""},"categories":[4],"tags":[76,72,176,80],"class_list":["post-4978","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-avisos-de-seguridad","tag-actualizaciones","tag-avisos-de-seguridad","tag-fortinet","tag-vulnerabilidad"],"_links":{"self":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/4978","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=4978"}],"version-history":[{"count":1,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/4978\/revisions"}],"predecessor-version":[{"id":4980,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/4978\/revisions\/4980"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/media\/4979"}],"wp:attachment":[{"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=4978"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=4978"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=4978"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}