El 13 de octubre de 2026, Fortinet publicó el aviso de seguridad FG-IR-26-184, en el que revela una vulnerabilidad de SQL injection (CVE-2025-57739) en la interfaz web del gateway de correo FortiMail. La vulnerabilidad tiene una puntuación de CVSSv3 7.7 (High) y permite a un atacante autenticado ejecutar código o comandos no autorizados mediante peticiones HTTP especialmente diseñadas. Se ven afectadas tres ramas de FortiMail — 7.2, 7.4 y 7.6; los parches ya están disponibles. Los administradores de instalaciones on-premise deben actualizar el software con carácter prioritario.
Detalles técnicos de la vulnerabilidad
La vulnerabilidad se clasifica como CWE-89, es decir, neutralización insuficiente de elementos especiales utilizados en comandos SQL. Según el aviso de seguridad de Fortinet, el ataque se lleva a cabo a través de un componente GUI (el webmail de FortiMail) mediante peticiones HTTP especialmente diseñadas. El vector CVSS (según el registro oficial de CVE: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) indica acceso por red, baja complejidad de ataque, pero con el requisito obligatorio de autenticación. El impacto se evalúa como alto en los tres parámetros: confidencialidad, integridad y disponibilidad.
Un punto clave: para explotar la vulnerabilidad se necesita una cuenta de usuario de webmail. Esto reduce la probabilidad de un ataque automatizado masivo, pero no elimina la amenaza: credenciales de correo comprometidas o débiles pueden convertirse en el punto de partida para una escalada de privilegios.
De acuerdo con el aviso de seguridad de Fortinet, la vulnerabilidad fue descubierta mediante los propios medios internos de la compañía. En el momento de la publicación del aviso no se habían registrado casos de explotación activa.
Versiones afectadas y correcciones
Según el aviso de Fortinet, se ven afectadas las siguientes versiones de FortiMail:
- FortiMail 7.6: versiones de la 7.6.0 a la 7.6.3 — actualizar a la 7.6.4 o superior
- FortiMail 7.4: versiones de la 7.4.0 a la 7.4.5 — actualizar a la 7.4.6 o superior
- FortiMail 7.2: versiones de la 7.2.0 a la 7.2.8 — actualizar a la 7.2.9 o superior
FortiMail 8.0 no es vulnerable a este fallo. Para los usuarios del servicio en la nube FortiMail Cloud, Fortinet indica que el problema se solucionó ya en el primer trimestre de 2026 y no se requiere ninguna acción por parte de los clientes.
Evaluación del impacto
FortiMail se utiliza ampliamente como gateway de seguridad de correo corporativo, proporcionando filtrado de spam, análisis antivirus y protección frente a phishing. Una SQL injection en la interfaz web de correo supone una amenaza seria: una explotación exitosa puede desembocar en una escalada de privilegios, lo que en el contexto de un gateway de correo implica un posible acceso a correspondencia confidencial y la capacidad de manipular las políticas de correo.
Conviene destacar que Fortinet reveló en octubre de 2026 varias vulnerabilidades a la vez en sus productos. Anteriormente escribimos sobre el bypass de autenticación en FortiSandbox con CVSS 9.6 y sobre la vulnerabilidad crítica en FortiSIEM con CVSS 9.4. Para las organizaciones que utilizan varios productos de Fortinet, tiene sentido llevar a cabo una auditoría integral de versiones en toda la infraestructura del proveedor.
Recomendaciones
- Determine qué versión de FortiMail utiliza y compárela con la lista de versiones afectadas que aparece más arriba.
- Actualice FortiMail a la versión corregida correspondiente a su rama (7.6.4, 7.4.6 o 7.2.9). Si es posible migrar a la rama 8.0, que no es vulnerable, considere esta opción.
- Revise las cuentas de webmail: dado que la explotación requiere autenticación, asegúrese de que no haya cuentas comprometidas o sin uso. Refuerce las políticas de contraseñas.
- Los usuarios de FortiMail Cloud no necesitan realizar acciones adicionales: Fortinet indica que el parche ya se ha aplicado en el lado del servicio en la nube.
Aunque Fortinet no ha detectado explotación activa de CVE-2025-57739, la puntuación CVSS 7.7 y la posibilidad de escalada de privilegios convierten la actualización en una prioridad. Las SQL injections siguen siendo una de las clases de ataque mejor estudiadas y más fáciles de automatizar: retrasar la instalación del parche aumenta el riesgo a medida que aparecen detalles de la vulnerabilidad en el dominio público. Planifique la actualización de FortiMail para la próxima ventana de mantenimiento.
