Por Mid 
La vulnerabilidad Fortinet FortiOS CVE-2026-24858 ha sido catalogada como crítica con un score CVSS de 9.4 y está siendo activamente explotada en ataques dirigidos contra dispositivos FortiGate. CISA agregó esta falla a su catálogo de vulnerabilidades explotadas (KEV) el 27 de enero de 2026, tras detectar actividad maliciosa que compromete la autenticación de FortiCloud SSO.
El 20 de enero de 2026, múltiples clientes de Fortinet reportaron accesos no autorizados a sus firewalls FortiGate, donde atacantes crearon cuentas de administrador locales y modificaron configuraciones de VPN a pesar de ejecutar las versiones más recientes de FortiOS.
¿Qué es la Vulnerabilidad Fortinet FortiOS CVE-2026-24858?
La vulnerabilidad Fortinet FortiOS CVE-2026-24858 es un bypass de autenticación clasificado como «Authentication Bypass Using an Alternate Path or Channel» (CWE-288). Esta falla permite que atacantes con una cuenta de FortiCloud y un dispositivo registrado puedan iniciar sesión en dispositivos separados registrados por otros usuarios, siempre que tengan habilitado el inicio de sesión único (SSO) de FortiCloud.
La severidad crítica de CVE-2026-24858 radica en que no requiere credenciales de las víctimas. Un atacante solo necesita:
- Una cuenta legítima de FortiCloud
- Un dispositivo Fortinet registrado bajo su control
- Que el dispositivo objetivo tenga habilitado FortiCloud SSO
Esta combinación de factores hace que la explotación sea relativamente sencilla para actores de amenaza con conocimientos técnicos básicos, similar a otros casos de vulnerabilidades críticas que hemos documentado previamente.
Detalles Técnicos de CVE-2026-24858
El mecanismo de explotación de Fortinet FortiOS CVE-2026-24858 se basa en un defecto en la implementación del sistema de autenticación SSO de FortiCloud. Según el análisis técnico publicado por Fortinet en su blog oficial, el problema reside en la validación insuficiente de tokens de autenticación entre dispositivos registrados en FortiCloud.
Las características técnicas clave incluyen:
- Vector de ataque: Red (Network)
- Complejidad de ataque: Baja
- Privilegios requeridos: Bajos (cuenta FortiCloud válida)
- Interacción del usuario: No requerida
- Alcance: Cambiado (permite acceso a recursos fuera del componente vulnerable)
- Impacto en confidencialidad: Alto
- Impacto en integridad: Alto
- Impacto en disponibilidad: Alto
El score CVSS v3.1 de 9.4 refleja la combinación de facilidad de explotación y alto impacto potencial, características que también observamos en la reciente vulnerabilidad de WordPress CVE-2026-23550.
Explotación Activa: Ataques Detectados en la Wild
Fortinet confirmó que CVE-2026-24858 fue explotada activamente en ataques reales. El 22 de enero de 2026, la compañía identificó y bloqueó dos cuentas maliciosas de FortiCloud que estaban siendo utilizadas para comprometer dispositivos de terceros.
Las actividades maliciosas observadas incluyeron:
- Creación de cuentas de administrador locales no autorizadas en dispositivos FortiGate comprometidos
- Modificaciones en configuraciones de firewall para permitir tráfico específico
- Alteraciones en configuraciones de VPN para establecer acceso persistente
- Descarga de archivos de configuración conteniendo información sensible sobre topología de red
La alerta de CISA publicada el 28 de enero urgió a las organizaciones a verificar indicadores de compromiso en todos los productos Fortinet accesibles desde Internet, enfatizando la necesidad de aplicar parches inmediatamente.
Este patrón de explotación activa recuerda a incidentes anteriores como el caso de VMware ESXi Zero-Day donde atacantes también buscaban establecer persistencia en infraestructura crítica.
Indicadores de Compromiso (IOCs)
Fortinet ha proporcionado indicadores de compromiso específicos que las organizaciones deben buscar para determinar si han sido víctimas de la explotación de Fortinet FortiOS CVE-2026-24858:
Nombres de Cuentas Maliciosas
Los atacantes crean consistentemente cuentas de administrador local con los siguientes nombres:
auditbackupitadminsecadminsupportbackupadmindeployremoteadminsecuritysv
Actividades Sospechosas a Monitorear
- Creación de cuentas de administrador no documentadas
- Autenticaciones SSO desde ubicaciones geográficas inusuales
- Cambios en políticas de firewall sin justificación
- Modificaciones en túneles VPN o configuraciones de acceso remoto
- Descargas masivas de archivos de configuración
- Cambios en configuraciones de logging (intento de ocultar actividad)
Las organizaciones deben revisar inmediatamente sus registros de autenticación y auditoría de cuentas administrativas en busca de estos indicadores.
Productos y Versiones Afectadas por Fortinet FortiOS CVE-2026-24858
La vulnerabilidad Fortinet FortiOS CVE-2026-24858 afecta múltiples productos del ecosistema Fortinet:
FortiOS
El sistema operativo propietario que ejecutan los firewalls de nueva generación (NGFW) FortiGate. Todas las versiones son vulnerables si tienen habilitado FortiCloud SSO.
FortiManager
Plataforma centralizada para gestionar múltiples dispositivos de seguridad Fortinet. Permite configuración, actualizaciones y monitoreo desde una consola única.
FortiAnalyzer
Solución de logging, análisis y reporting para entornos Fortinet. Centraliza logs de eventos de seguridad.
FortiProxy
Secure web gateway y servidor proxy para filtrado de contenido web y protección contra amenazas.
FortiWeb
Web Application Firewall (WAF) diseñado para proteger aplicaciones web contra ataques como SQL injection, XSS y otros vectores OWASP Top 10.
Importante: Los siguientes productos NO están afectados por CVE-2026-24858:
- FortiManager Cloud
- FortiAnalyzer Cloud
- FortiGate Cloud
- Dispositivos configurados con SAML SSO de terceros (no FortiCloud)
La vulnerabilidad solo es explotable en dispositivos que tienen habilitada específicamente la función de autenticación FortiCloud SSO, similar a cómo otras vulnerabilidades zero-day requieren configuraciones específicas para ser explotadas.
Parches y Mitigaciones Disponibles
Fortinet ha liberado actualizaciones de seguridad para remediar CVE-2026-24858. Las versiones parcheadas incluyen:
Versiones Parcheadas de FortiOS
- FortiOS 7.6.6 (ya disponible)
- FortiOS 7.4.11 (ya disponible)
- Versiones adicionales para FortiManager, FortiAnalyzer, FortiProxy y FortiWeb en proceso de liberación
Acciones de Mitigación Temporal
El 26 de enero de 2026, Fortinet deshabilitó temporalmente toda la autenticación FortiCloud SSO para mitigar activamente la explotación de CVE-2026-24858. El servicio fue restablecido el 27 de enero con cambios arquitectónicos para prevenir la explotación en dispositivos vulnerables.
Organizaciones que no pueden aplicar parches inmediatamente deben considerar:
- Deshabilitar FortiCloud SSO temporalmente y usar autenticación local o SAML de terceros
- Implementar autenticación multifactor (MFA) adicional en cuentas administrativas
- Restringir acceso administrativo a redes de gestión aisladas
- Habilitar alertas de auditoría para creación de cuentas y cambios de configuración
- Segmentar dispositivos Fortinet para limitar movimiento lateral en caso de compromiso
CISA no estableció un deadline formal, pero enfatizó la necesidad de aplicar parches «tan pronto como estén disponibles» debido a la explotación activa confirmada.
Recomendaciones de CISA y Fortinet
Tanto CISA como Fortinet han publicado recomendaciones detalladas para organizaciones afectadas por Fortinet FortiOS CVE-2026-24858:
Acciones Inmediatas Requeridas
- Revisar todos los productos Fortinet accesibles desde Internet para verificar indicadores de compromiso
- Auditar cuentas administrativas buscando nombres sospechosos como «audit», «backup», «itadmin», etc.
- Examinar registros de autenticación SSO desde el 15 de enero de 2026 en adelante
- Verificar cambios de configuración no autorizados en firewalls, VPN y políticas de seguridad
- Aplicar actualizaciones de seguridad inmediatamente a FortiOS 7.6.6, 7.4.11 o versiones superiores
Guías Oficiales de Referencia
Fortinet publicó dos documentos técnicos esenciales:
- FG-IR-26-060: Advisory oficial sobre «Administrative FortiCloud SSO authentication bypass»
- Analysis of Single Sign-On Abuse on FortiOS: Análisis técnico detallado del vector de ataque
Organizaciones que identifiquen evidencia de compromiso deben considerar:
- Rotación completa de credenciales administrativas
- Revisión forense de configuraciones exportadas
- Auditoría de conectividad VPN establecida durante el período de compromiso
- Notificación a equipos de respuesta a incidentes y posiblemente a autoridades
Cronología del Incidente CVE-2026-24858
La siguiente línea de tiempo documenta los eventos clave relacionados con la vulnerabilidad Fortinet FortiOS CVE-2026-24858:
- ~15 de enero de 2026: Inicio estimado de la explotación en la wild (fecha aproximada basada en análisis de logs)
- 20 de enero de 2026: Múltiples clientes de Fortinet reportan accesos no autorizados a dispositivos FortiGate
- 22 de enero de 2026: Fortinet identifica y bloquea dos cuentas maliciosas de FortiCloud utilizadas en los ataques
- 26 de enero de 2026: Fortinet deshabilita temporalmente toda autenticación FortiCloud SSO como medida de emergencia
- 27 de enero de 2026:
- CISA agrega CVE-2026-24858 a su catálogo KEV
- Fortinet restaura servicio FortiCloud SSO con mitigaciones implementadas
- 28 de enero de 2026: CISA publica alerta oficial urgiendo aplicación inmediata de parches
- 29-30 de enero de 2026: Fortinet libera parches para FortiOS 7.6.6 y 7.4.11
La rápida respuesta de Fortinet, desde la detección hasta la liberación de parches en aproximadamente una semana, demuestra la capacidad de reacción ante vulnerabilidades críticas, aunque plantea preguntas sobre controles de seguridad previos que permitieron la explotación inicial.
Preguntas Frecuentes sobre CVE-2026-24858
¿Cómo saber si mi dispositivo FortiGate está afectado por CVE-2026-24858?
Tu dispositivo está afectado si cumple dos condiciones: (1) ejecuta una versión de FortiOS anterior a 7.4.11 o 7.6.6, y (2) tiene habilitada la autenticación FortiCloud SSO. Dispositivos que usan autenticación local o SAML de terceros NO están afectados. Verifica en la configuración del sistema si FortiCloud SSO está activo.
¿Qué debo hacer si encuentro cuentas administrativas sospechosas?
Si identificas cuentas con nombres como «audit», «backup», «itadmin» o similares que no reconoces, debes: (1) aislar inmediatamente el dispositivo de la red, (2) desactivar esas cuentas, (3) revisar logs de actividad asociados a esas cuentas, (4) verificar cambios de configuración realizados por ellas, (5) rotar todas las credenciales administrativas, y (6) contactar al equipo de respuesta a incidentes. No elimines las cuentas antes de documentarlas para análisis forense.
¿La desactivación temporal de FortiCloud SSO por parte de Fortinet protegió mi dispositivo?
La desactivación temporal del 26-27 de enero protegió contra nuevos intentos de explotación, pero NO eliminó compromisos existentes. Si tu dispositivo fue comprometido antes del 26 de enero, las cuentas maliciosas y cambios de configuración persisten. Debes realizar auditorías completas de cuentas y configuraciones independientemente de la desactivación temporal del servicio.
¿Puedo seguir usando FortiCloud SSO después de aplicar el parche?
Sí, después de actualizar a FortiOS 7.4.11, 7.6.6 o versiones superiores, puedes volver a habilitar FortiCloud SSO de manera segura. Fortinet implementó cambios arquitectónicos tanto en los dispositivos parcheados como en la infraestructura de FortiCloud para prevenir este tipo de bypass de autenticación. Sin embargo, como medida de defensa en profundidad, considera implementar MFA adicional y monitoreo de autenticaciones SSO.
¿Por qué CISA considera CVE-2026-24858 tan crítica?
CISA clasificó esta vulnerabilidad como crítica por tres razones: (1) está siendo activamente explotada en ataques reales confirmados, (2) permite compromiso completo de firewalls empresariales sin credenciales de las víctimas, y (3) afecta infraestructura de seguridad perimetral que protege redes corporativas enteras. Un firewall comprometido permite a atacantes modificar reglas para exfiltrar datos, establecer backdoors, y moverse lateralmente en la red interna.
Conclusión
La vulnerabilidad Fortinet FortiOS CVE-2026-24858 representa una amenaza crítica para organizaciones que dependen de infraestructura Fortinet con FortiCloud SSO habilitado. La confirmación de explotación activa en la wild, combinada con el alto impacto potencial (compromiso completo de firewalls perimetrales), exige acción inmediata.
Las organizaciones deben priorizar la aplicación de parches a FortiOS 7.4.11, 7.6.6 o versiones superiores, realizar auditorías exhaustivas de cuentas administrativas y configuraciones, y considerar medidas de mitigación adicionales como deshabilitar temporalmente FortiCloud SSO si no es posible parchear de inmediato.
Este incidente refuerza la importancia de mantener actualizadas las soluciones de seguridad perimetral y monitorear continuamente actividad administrativa sospechosa. Para estar al día sobre las últimas vulnerabilidades de ciberseguridad, suscríbete a nuestro blog.