Fortinet avisa (de nuevo) de la explotación activa de la vulnerabilidad 0-Day FG-IR-26-060 (Parchea!) ~ Segu-Info

Fortinet confirmó la explotación activa de la vulnerabilidad Zero-Day crítica
que afecta a FortiCloud Single Sign-On (SSO) y permite a atacantes obtener
acceso administrativo a dispositivos registrados en cuentas de terceros. Como
medida de contención inmediata,
en enero la compañía deshabilitó temporalmente FortiCloud SSO a nivel
servidor, restaurándolo luego con bloqueos específicos para dispositivos
vulnerables.

⚠️ La vulnerabilidad solo se puede explotar cuando FortiCloud SSO está
habilitado. Si no se utiliza FortiCloud SSO y no es indispensable, se debe
deshabilitar ya mismo.

El incidente, rastreado internamente como
FG-IR-26-060, impacta a múltiples productos clave del ecosistema Fortinet y representa un
riesgo serio para infraestructuras expuestas, incluso aquellas completamente
parcheadas frente a vulnerabilidades anteriores. Este incidente se relaciona
con advisories previos de diciembre de 2025 (FG-IR-25-647), donde fallos similares fueron parcheados pero posteriormente eludidos por
un nuevo vector.

Los clientes deberían utilizar Fortinet Upgrade Tool para actualizar.

La falla se debe a una vulnerabilidad de omisión de autenticación mediante una
ruta o canal alternativo (CWE-288).
Afecta a FortiOS, FortiManager y FortiAnalyzer cuando el inicio de
sesión único (SSO) de FortiCloud está habilitado.
Esta función no está activa por defecto, pero suele activarse durante
el registro de FortiCare, a menos que se desactive explícitamente.

Los atacantes la explotan para obtener acceso administrativo a los
dispositivos objetivo, incluso aquellos con parches completos para problemas
anteriores relacionados. Fortinet señala que la vulnerabilidad también afecta
a todas las implementaciones de SSO SAML, aunque hasta el momento se ha
limitado al SSO de FortiCloud. Fortinet también indicó que todas las
implementaciones SAML SSO están teóricamente afectadas, aunque por el momento
solo se confirmó explotación vía FortiCloud SSO.

Un atacante con una cuenta FortiCloud maliciosa puede autenticarse vía SSO
en dispositivos registrados a otras cuentas FortiCloud obteniendo acceso
administrativo completo.

Versiones afectadas

En ataques confirmados, los atacantes lograron:

• Acceso administrativo y persistencia
• Ingresar vía SSO con éxito
• Crear usuarios administradores locales persistentes
• Descargar configuraciones completas
• Mantener acceso incluso tras reinicios

Esto convierte a la vulnerabilidad en un riesgo crítico de compromiso total
del dispositivo, especialmente grave en firewalls perimetrales.

Mitigaciones inmediatas recomendadas

Deshabilitar FortiCloud SSO (si no es estrictamente necesario)

FortiOS / FortiProxy

config system global
set admin-forticloud-sso-login disable
end

FortiManager / FortiAnalyzer

config system saml
set forticloud-sso disable
end

Restringir acceso administrativo

• Aplicar local-in policies
• Permitir solo IPs de administración confiables

Si hay indicios de compromiso

• Actualizar firmware inmediatamente
• Restaurar configuración limpia
• Rotar credenciales (admins, VPN, LDAP)
• Auditar integraciones externas
• Eliminar usuarios sospechosos

La vulnerabilidad FG-IR-26-060 es un claro recordatorio de que los servicios
cloud integrados en dispositivos de seguridad también amplían la superficie de
ataque. En este caso, un bypass de autenticación permitió compromisos
completos en firewalls Fortinet totalmente parcheados.

Usuarios administradores creados post-explotación

• audit, backup, itadmin, secadmin, support
• backupadmin, deploy, remoteadmin
• security, svcadmin, system

Logs a revisar

• Logins SSO exitosos > logid=0100032001
• Creación de admins > logid=0100044547

Fuente:
CyberSecurity