Fortinet ha publicado el aviso de seguridad FG-IR-26-186, en el que informa sobre la investigación del impacto de una vulnerabilidad crítica en el núcleo de PHP — CVE-2026-109618 — en su línea de productos. La vulnerabilidad tiene una puntuación CVSSv3 9.8 y está clasificada como crítica. Permite a un atacante no autenticado lograr ejecución remota de código (RCE) mediante la manipulación del manejo de errores de falta de memoria. En el momento de la publicación del aviso, 12 productos de Fortinet se encuentran en fase de investigación y otros 12 se consideran no afectados. En el material disponible del aviso no se indican las versiones afectadas concretas ni los parches.
Mecanismo de la vulnerabilidad
Según la descripción de Fortinet, CVE-2026-109618 está relacionada con la forma en que PHP utiliza la función longjmp() para manejar errores de falta de memoria (OOM — out-of-memory). Cuando se produce un error OOM, PHP sale del contexto actual e interrumpe el procesamiento de la solicitud. El problema es que algunos contextos no contemplan correctamente este escenario: la memoria de la solicitud queda en un estado no inicializado después del intento de asignación. El procedimiento posterior de limpieza de la solicitud lee esa memoria o toma decisiones basándose en ella. Varias estrategias para provocar OOM permiten reproducir de forma estable este estado y lograr la ejecución de código arbitrario.
Características clave de la vulnerabilidad según Fortinet:
- CVE ID: CVE-2026-109618
- CVSSv3: 9.8 (Critical)
- Tipo de ataque: sin autenticación
- Impacto: ejecución de código o comandos no autorizados
- Origen: biblioteca de terceros (PHP)
- Explotación conocida: según Fortinet, en el momento de la publicación no se ha observado
El encabezado del aviso también menciona CVE-2026-109619; sin embargo, el texto disponible del aviso no contiene descripción técnica, evaluación de criticidad ni una lista de productos afectados para este identificador.
Productos afectados y no afectados
Fortinet ha dividido sus productos en dos categorías. Los siguientes productos se encuentran en fase de investigación, es decir, Fortinet aún no ha determinado de forma definitiva si son vulnerables:
- FortiADC
- FortiADC Manager
- FortiClient EMS
- FortiDDoS
- FortiDDoS-F
- FortiSIEM
- FortiMonitor
- FortiClient Cloud
- FortiSOAR
- FortiSOAR PaaS
- FortiGuard
- FortiEndpoint
Productos confirmados como no afectados por la vulnerabilidad:
- FortiOS, FortiManager, FortiAnalyzer
- FortiWeb, FortiMail
- FortiClient Linux, FortiClient Windows, FortiClient MacOS
- FortiSASE, FortiAuthenticator, FortiSwitch, FortiNAC
Es importante subrayar que el estado «en investigación» no implica una vulnerabilidad confirmada. Esta lista puede cambiar a medida que Fortinet complete su análisis. El material disponible del aviso no contiene información sobre las versiones afectadas ni sobre las rutas de actualización, lo que puede deberse a que la investigación aún continúa o a que el texto completo del aviso incluya información adicional.
Evaluación del impacto
La combinación de tres factores convierte a CVE-2026-109618 en una prioridad de atención: la puntuación CVSS 9.8, la posibilidad de explotación sin autenticación y el amplio espectro de productos potencialmente afectados. En la lista de productos bajo investigación se incluyen soluciones de gestión de tráfico (FortiADC), sistemas SIEM (FortiSIEM), plataformas de orquestación de seguridad (FortiSOAR) y herramientas de protección frente a DDoS. Estos productos suelen desplegarse en la infraestructura de seguridad crítica de las organizaciones.
Cabe señalar que ya hemos tratado anteriormente vulnerabilidades críticas en productos de Fortinet, entre ellas una vulnerabilidad crítica en FortiSIEM con CVSS 9.4 y un bypass de autenticación en FortiSandbox con CVSS 9.6. FortiSIEM vuelve a aparecer en la lista de productos bajo investigación, lo que subraya la necesidad de vigilar de cerca las actualizaciones para esta plataforma.
Recomendaciones
Dado que Fortinet no ha publicado en el material disponible del aviso versiones concretas para actualizar ni soluciones temporales, por el momento las recomendaciones se limitan a lo siguiente:
- Seguimiento del aviso: supervise las actualizaciones de FG-IR-26-186; Fortinet puede completarlo con información sobre versiones afectadas y parches a medida que concluya la investigación
- Inventario: determine si en su infraestructura se utilizan productos incluidos en la lista de investigados y prepare un plan de actualización rápida
- Segmentación de red: limite el acceso de red a las interfaces de administración de los productos bajo investigación, minimizando la superficie de ataque hasta que el proveedor publique recomendaciones definitivas
- Supervisión de anomalías: refuerce la observación de los productos bajo investigación para detectar actividad atípica, como consumo de memoria anómalo, procesos inesperados o conexiones de red sospechosas
Las organizaciones que utilicen productos de la lista de investigados —en especial FortiSIEM, FortiSOAR y FortiADC— deberían preparar ya un procedimiento de actualización de emergencia y restringir el acceso externo a estos sistemas. Una vez que Fortinet concluya la investigación y publique versiones concretas con correcciones, la demora en aplicarlas, dado un CVSS 9.8 y la ausencia de requisito de autenticación, representará un riesgo grave.
