PoC exploit público para una vulnerabilidad crítica en FortiSIEM permite ejecutar código sin autenticación

Los investigadores de Horizon3.ai han publicado un PoC exploit funcional para la vulnerabilidad crítica CVE-2026-106173 en Fortinet FortiSIEM. La vulnerabilidad de tipo path traversal (salto de directorio), con una puntuación CVSS de 9.4, permite a un atacante no autenticado escribir archivos arbitrarios en el sistema de archivos y lograr ejecución remota de código. El servicio gRPC vulnerable está disponible en el puerto TCP 27918 sin autenticación y sin certificado de cliente, y la existencia de un exploit público hace que la actualización sea una tarea urgente para todas las organizaciones que utilizan FortiSIEM. Ya escribimos sobre esta vulnerabilidad cuando se publicó el aviso de Fortinet; ahora la situación se ha agravado debido a la aparición de una herramienta de ataque lista para usar.

Mecanismo de explotación

Según el análisis técnico de Horizon3.ai, la vulnerabilidad se encuentra en el manejador QueryResultReq del servicio gRPC. La función SendQueryResult() acepta el parámetro suministrado por el usuario query-id y lo utiliza para formar la ruta al archivo sin una validación adecuada. El ataque combina dos técnicas:

• Path traversal: las secuencias ../ en el parámetro query-id permiten salir del directorio objetivo y escribir datos en una ubicación arbitraria del sistema de archivos.
• Inyección de byte nulo: el carácter \0, incrustado en query-id, hace que el sistema operativo lo interprete como final de cadena. Esto recorta el sufijo del nombre de archivo que el programa añade automáticamente (formato result-<IP>-0-0-<id>.dat) y da al atacante control total sobre el nombre del archivo que se va a escribir.

Según Horizon3.ai, al sobrescribir un archivo existente se conservan sus permisos y propietario originales. Esto es crucial para convertir la escritura de archivos en ejecución de código: el atacante puede sobrescribir el script /opt/charting/redishb.sh, un script shell de comprobación del estado de Redis que se ejecuta cada 60 segundos mediante cron. De este modo, el código malicioso se ejecutará en el plazo de un minuto tras la escritura del archivo.

Versiones afectadas

Según el registro CNA, la vulnerabilidad afecta a un espectro de versiones significativamente más amplio de lo que se indica en algunas fuentes de noticias:

• FortiSIEM 7.5.0
• FortiSIEM 7.4.0 – 7.4.2
• FortiSIEM 7.3.0 – 7.3.5
• FortiSIEM 7.2.0 – 7.2.7
• FortiSIEM 7.1.0 – 7.1.9
• FortiSIEM 7.0.0 – 7.0.4

Importante: la noticia original menciona solo la versión 7.5.0 y recomienda actualizar a 7.5.1, pero el registro CNA contiene una matriz ampliada de versiones afectadas. Se recomienda consultar la información completa sobre los parches disponibles para cada rama en el aviso oficial de Fortinet FG-IR-26-180.

Estado de explotación y detección

En el momento de la publicación, el PoC exploit público está disponible, pero no se han registrado casos confirmados de explotación en ataques reales. Según Horizon3.ai, los registros de la aplicación FortiSIEM no contienen rastros evidentes de explotación de esta vulnerabilidad, lo que dificulta la detección de ataques mediante las herramientas de monitorización estándar.

Para comprobar una posible brecha de seguridad, Horizon3.ai recomienda prestar atención a los siguientes archivos:

• /opt/charting/redishb.sh: script de comprobación de Redis que se ejecuta mediante cron
• /opt/phoenix/bin/phLicenseTool

Es necesario comprobar las marcas de tiempo de modificación de estos archivos y comparar su contenido con copias de referencia. Los cambios en el contenido o en la fecha de modificación sin una actualización legítima pueden indicar una posible compromisión.

Recomendaciones

Dado que existe un exploit público y que el servicio vulnerable no requiere autenticación, la prioridad de actualización es máxima, especialmente para despliegues de FortiSIEM donde el puerto TCP 27918 es accesible desde el exterior:

1. Actualice FortiSIEM a una versión corregida de acuerdo con el aviso FG-IR-26-180. Para la rama 7.5.x, actualice a la versión 7.5.1 o superior.
2. Limite el acceso de red al puerto TCP/27918 mediante controles de firewall. Este puerto no debe ser accesible desde redes no confiables.
3. Verifique la integridad de los archivos/opt/charting/redishb.sh y /opt/phoenix/bin/phLicenseTool para detectar cambios no autorizados.
4. Realice una auditoría de las conexiones de red al puerto 27918 en los registros de los equipos de red para el periodo previo a la instalación del parche.

Esta vulnerabilidad forma parte de una serie de problemas críticos en productos Fortinet identificados en octubre de 2026. Anteriormente cubrimos el bypass de autenticación en FortiSandbox (CVSS 9.6) y las SQL injection en FortiAnalyzer y FortiManager. A las organizaciones que utilizan productos Fortinet se les recomienda realizar una revisión integral de las versiones instaladas de toda la línea de productos y asegurarse de que se han aplicado todos los avisos de seguridad vigentes.