Producto(s) afectado(s):
| Producto | Versiones afectadas |
| FortiOS | 8.0.0 a 8.0.1, 7.6.0 a 7.6.7, 7.4.0 a 7.4.12 y 7.2.0 a 7.2.13 |
| FortiManager | 8.0.0 a 8.0.1, 7.6.0 a 7.6.7, 7.4.0 a 7.4.11 y 7.2.0 a 7.2.12 |
| FortiAnalyzer | 8.0.0 a 8.0.1, 7.6.0 a 7.6.7, 7.4.0 a 7.4.11 y 7.2.0 a 7.2.12 |
| FortiMail | 8.0.0 a 8.0.1, 7.6.0 a 7.6.6, 7.4.0 a 7.4.8 y 7.2.0 a 7.2.9 |
| FortiAuthenticator | 8.0.0 a 8.0.3 y 6.6.0 a 6.6.10 |
Descripción
Se ha reportado un conjunto de vulnerabilidades de severidad crítica y alta en FortiOS, FortiManager, FortiAnalyzer, FortiMail y FortiAuthenticator de Fortinet. Las fallas fueron identificadas por el programa de pruebas de seguridad de Fortinet asistido por modelos de IA de frontera, que analiza rutas de código, manejo de protocolos y lógica de configuración.
Fortinet anunció el 21 de octubre de 2026 una publicación coordinada de actualizaciones: las versiones corregidas de FortiMail y FortiAuthenticator están disponibles desde ese día y las de FortiOS, FortiManager y FortiAnalyzer, desde el 22 de octubre de 2026.
Fortinet publicará los identificadores CVE, los puntajes CVSS y los detalles técnicos en su página de PSIRT el 10 de noviembre de 2026. Se recomienda estar atentos a las actualizaciones del aviso y no esperar esa fecha para aplicar los parches. Beacon Lab actualizará este boletín cuando se publiquen los detalles.
El fabricante pide tratar estas actualizaciones como un cambio prioritario y no como mantenimiento de rutina. Advierte que, una vez publicados los parches, la comparación entre versiones (patch diffing) puede revelar las zonas corregidas, que las herramientas de IA permiten desarrollar exploits en horas o días y que vulnerabilidades de menor severidad pueden encadenarse para lograr un impacto mayor.
El 23 de octubre de 2026, el ASD’s ACSC de Australia emitió una alerta con calificación crítica e indicó que no tiene conocimiento de explotación activa de estas vulnerabilidades en Australia.
Mitigación
Si no es posible actualizar de inmediato, Fortinet recomienda reducir la exposición con las siguientes medidas:
- Restringir las interfaces administrativas (HTTPS, SSH) a direcciones IP de confianza o deshabilitarlas en las interfaces externas.
- Asegurar que la administración de FortiManager no sea accesible desde Internet.
- Gestionar los equipos fuera de banda (out of band) y ubicar los recursos detrás de VPN o SASE cuando sea posible.
- Aplicar parches virtuales hasta que se pueda actualizar.
- Usar credenciales robustas y únicas y exigir MFA en todas las cuentas de administrador.
- Revisar los registros en busca de accesos administrativos inusuales o cambios de configuración no aprobados, antes y después de actualizar.
Según Fortinet, estas medidas reducen el riesgo, pero no reemplazan la actualización.
Solución
La solución consiste en actualizar cada equipo a la versión corregida de su rama, o posterior, priorizando los equipos expuestos a Internet. Se recomienda respaldar la configuración antes de actualizar.
FortiOS
| Rama | Versiones afectadas | Versión corregida |
| 8.0 | 8.0.0 a 8.0.1 | 8.0.2 o superior |
| 7.6 | 7.6.0 a 7.6.7 | 7.6.8 o superior |
| 7.4 | 7.4.0 a 7.4.12 | 7.4.13 o superior |
| 7.2 | 7.2.0 a 7.2.13 | 7.2.14 o superior |
FortiManager y FortiAnalyzer
| Rama | Versiones afectadas | Versión corregida |
| 8.0 | 8.0.0 a 8.0.1 | 8.0.2 o superior |
| 7.6 | 7.6.0 a 7.6.7 | 7.6.8 o superior |
| 7.4 | 7.4.0 a 7.4.11 | 7.4.12 o superior |
| 7.2 | 7.2.0 a 7.2.12 | 7.2.13 o superior |
FortiMail
| Rama | Versiones afectadas | Versión corregida |
| 8.0 | 8.0.0 a 8.0.1 | 8.0.2 o superior |
| 7.6 | 7.6.0 a 7.6.6 | 7.6.7 o superior |
| 7.4 | 7.4.0 a 7.4.8 | 7.4.9 o superior |
| 7.2 | 7.2.0 a 7.2.9 | Migrar a la rama 7.4 o posterior |
FortiAuthenticator
| Rama | Versiones afectadas | Versión corregida |
| 8.0 | 8.0.0 a 8.0.3 | 8.0.4 o superior |
| 6.6 | 6.6.0 a 6.6.10 | 6.6.11 o superior |
FortiSASE se actualizó automáticamente. FortiManager Cloud puede requerir actualización manual y las instancias en nubes públicas se actualizan mediante el proceso de cada proveedor.
Para info sobre cómo actualizar, visita el siguiente enlace (Upgrade Path Tool de Fortinet):
https://docs.fortinet.com/upgrade-tool
Descarga de firmware (portal de soporte de Fortinet):
Información adicional:
- Fortinet — Fortinet Releases Security Hardening Release for Multiple Products (versiones afectadas y corregidas):
https://www.fortinet.com/blog/ciso-collective/fortinet-releases-security-hardening-release-for-multiple-products - Fortinet PSIRT — avisos de seguridad (publicación prevista el 10/11/2026):
https://www.fortiguard.com/psirt - Fortinet — notas de la versión FortiOS 7.6.8:
https://docs.fortinet.com/product/fortigate/7.6 - ASD’s ACSC — Critical vulnerabilities in Fortinet products:
https://www.cyber.gov.au/alert/critical-vulnerabilities-in-fortinet-products - CCB Bélgica — Fortinet Releases Critical Security Hardening Updates for Multiple Products:
https://ccb.belgium.be/advisories/warning-fortinet-releases-critical-security-hardening-updates-multiple-products-patch