El 13 de octubre de 2026, Fortinet publicó el aviso de seguridad FG-IR-26-178, que describe vulnerabilidades de tipo SQL injection (CWE-89) en los productos FortiAnalyzer, FortiManager y sus versiones en la nube. Las vulnerabilidades permiten a un usuario con pocos privilegios ejecutar comandos arbitrarios mediante solicitudes especialmente construidas a la interfaz gráfica. El aviso de seguridad agrupa cuatro identificadores CVE y ha recibido de Fortinet una puntuación CVSSv3 global de 7.9 (High); sin embargo, las puntuaciones individuales de los distintos CVE en los registros difieren — de 6.5 a 8.8. Las organizaciones que utilicen las ramas afectadas 7.2, 7.4 y 7.6 deben actualizarse o migrar sin demora a versiones corregidas.
Detalles técnicos de las vulnerabilidades
El aviso de seguridad abarca cuatro CVE: CVE-2025-46773, CVE-2026-23705, CVE-2026-23706 y CVE-2026-23707. Todas ellas están clasificadas como SQL injection (CWE-89) y están relacionadas con el componente GUI. El ataque requiere autenticación: el atacante necesita una cuenta con pocos privilegios. El resultado de una explotación exitosa es la ejecución de código o comandos no autorizados, incluido el lectura y escritura arbitrarias de archivos.
Fortinet asignó al aviso una puntuación global de CVSSv3 7.9 (High). Sin embargo, esta puntuación no debe extrapolarse a cada uno de los cuatro CVE: según el registro en la NVD para CVE-2025-46773, la puntuación CNA es de 8.8 (vector CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H), mientras que el registro de CVE.org para CVE-2026-23707 fija una puntuación de 6.5 (Medium). Esto significa que la criticidad real de las distintas vulnerabilidades incluidas en el aviso varía de forma significativa.
Discrepancia en la vinculación de CVE-2025-46773
Merece especial atención CVE-2025-46773: aunque el aviso FG-IR-26-178 incluye este identificador en su lista, el registro de la NVD para dicha CVE hace referencia a otro aviso de Fortinet — FG-IR-25-246 — y describe un ámbito más reducido de productos afectados (solo FortiAnalyzer y FortiAnalyzer Cloud). Los datos disponibles no permiten determinar de forma inequívoca si se trata de una referencia cruzada o de un error de vinculación. Al planificar las correcciones, se recomienda tener en cuenta ambos avisos.
Versiones afectadas y recomendaciones de actualización
La matriz de versiones afectadas difiere entre productos y formas de despliegue. Las ramas 8.0 de todos los productos no se ven afectadas.
FortiAnalyzer (on-premises)
- 7.6.0–7.6.4: actualizar a 7.6.5 o superior
- 7.4.0–7.4.7: actualizar a 7.4.8 o superior
- 7.2 (todas las versiones): migración a una versión corregida
FortiManager (on-premises)
- 7.6.0–7.6.4: actualizar a 7.6.5 o superior
- 7.4.0–7.4.6: actualizar a 7.4.7 o superior
- 7.2 (todas las versiones): migración a una versión corregida
FortiAnalyzer Cloud
- 7.6.2–7.6.4: actualizar a 7.6.5 o superior
- 7.4.1–7.4.7: actualizar a 7.4.8 o superior
- 7.2.1–7.2.11: actualizar a 7.2.12 o superior
FortiManager Cloud
- 7.6.2–7.6.4: actualizar a 7.6.5 o superior
- Las ramas 8.0, 7.4 y 7.2 no se ven afectadas
Un aspecto crítico: para los despliegues on-premises de FortiAnalyzer y FortiManager en la rama 7.2 no existe un parche dentro de su propia línea: Fortinet recomienda una migración completa a una versión corregida. Esto complica de forma considerable el proceso de actualización en comparación con las ramas 7.4 y 7.6, donde basta con una actualización estándar. Las versiones en la nube de los productos tienen intervalos más estrechos de versiones afectadas y versiones objetivo concretas para todas las ramas.
Evaluación del impacto
FortiAnalyzer y FortiManager son componentes centrales de gestión de seguridad en infraestructuras Fortinet. FortiAnalyzer agrega registros y analítica de todos los dispositivos Fortinet de la red, mientras que FortiManager gestiona configuraciones y políticas. La compromisión de cualquiera de estos productos potencialmente otorga al atacante acceso a los registros de seguridad, a las configuraciones de los firewalls y a las políticas de toda la infraestructura.
Según el aviso de Fortinet, la vulnerabilidad fue descubierta por investigadores internos de la empresa y el estado de explotación activa figura como “No”. Sin embargo, en los materiales disponibles no se han encontrado confirmaciones independientes de la ausencia de explotación; el estado de explotación debe considerarse no establecido, y no garantizadamente seguro. Ninguna de las cuatro CVE se ha incluido en el catálogo CISA KEV en el momento de la publicación.
Anteriormente ya hemos tratado vulnerabilidades en productos Fortinet — en particular, el bypass de autenticación de FortiSandbox con una puntuación CVSS 9.6. El aviso actual confirma que la línea de productos de gestión de seguridad de Fortinet sigue siendo objeto de una atención estrecha por parte de los investigadores.
Recomendaciones prácticas
- Identifique los despliegues afectados. Compruebe las versiones de FortiAnalyzer y FortiManager (incluidas las versiones en la nube) según la matriz anterior. Preste atención a las diferencias en los rangos afectados entre productos on-premises y en la nube.
- Priorice la rama 7.2. Los despliegues en la rama 7.2 (on-premises) requieren migración y no actualización; planifique este proceso como prioritario, ya que es el más laborioso.
- Actualice las ramas 7.4 y 7.6 a las versiones corregidas indicadas (7.4.7/7.4.8 y 7.6.5 respectivamente, según el producto).
- Realice una auditoría de las cuentas con acceso al GUI de FortiAnalyzer y FortiManager. Dado que el ataque requiere autenticación, minimizar el número de cuentas y aplicar el principio de privilegios mínimos reduce la superficie de ataque.
- Supervise ambos avisos de seguridad — FG-IR-26-178 y FG-IR-25-246 — para comprender plenamente el ámbito de los productos afectados relacionados con CVE-2025-46773.
Teniendo en cuenta que FortiAnalyzer y FortiManager gestionan las configuraciones y los registros de toda la infraestructura de seguridad, la actualización de estos componentes debe tener mayor prioridad que la actualización de los dispositivos finales. Las organizaciones en la rama 7.2 deben comenzar a planificar la migración de inmediato, y los administradores de las ramas 7.4 y 7.6 deben aplicar los parches disponibles en la próxima ventana de mantenimiento.
