Múltiples vulnerabilidades en productos de Fortinet

Fecha de publicación 11/11/2026

Identificador

INCIBE-2026-855

Importancia

5 - Crítica

Recursos Afectados

Las siguientes versiones están afectadas por al menos una de las vulnerabilidades descritas.

FortiOS de 8.0.0 a 8.0.1, de 7.6.0 a 7.6.7, de 7.4.0 a 7.4.12 y de 7.2.0 a 7.2.13.
FortiManager y FortiAnalyzer de 8.0.0 a 8.0.2, de 7.6.0 a 7.6.7, de 7.4.0 a 7.4.11 y todas las versiones de la rama 7.2.
FortiManager Cloud y FortiAnalyzer Cloud de 8.0.1 a 8.0.2, de 7.6.0 a 7.6.7, de 7.4.1 a 7.4.11 y todas las versiones de la rama 7.2.
FortiAnalyzer-BigData de 7.6.0 a 7.6.2 para CVE-2026-126170. Fortinet también identifica este producto en el boletín de CVE-2026-126260, sin detallar las versiones afectadas.
FortiSASE 26.3.1 y 26.3.1_a, y todas las versiones de las ramas 26.2, 26.1, 25.4, 25.3, 25.2, 25.1.a y 25.1.
FortiSASE-Sovereign en las ramas 25, 25.3 y 25.4.

Descripción

Fortinet ha publicado 8 vulnerabilidades de severidad crítica que, según el servicio y la configuración, un atacante podría ejecutar código o comandos, acceder a dominios virtuales ajenos, difundir anuncios de enrutamiento manipulados o provocar una denegación de servicio.

Solución

Actualizar FortiOS a 8.0.2, 7.6.8, 7.4.13 o 7.2.14, o a una versión posterior de la rama utilizada.
Actualizar FortiManager, FortiAnalyzer y sus variantes Cloud a 7.6.8 o 7.4.12, o a una versión posterior de la rama utilizada. En la rama 7.2, migrar a una rama corregida para resolver CVE-2026-126229. En la rama 8.0, instalar 8.0.2 para aplicar las correcciones disponibles y actualizar a 8.0.3 o posterior cuando se publique la corrección de CVE-2026-126170.
Actualizar FortiAnalyzer-BigData a 7.6.3 o posterior cuando esté disponible para corregir CVE-2026-126170. Para CVE-2026-126260, confirmar con Fortinet la versión corregida aplicable a este producto.
En FortiSASE, Fortinet aplicó la corrección en 26.3.2. Para las ramas anteriores afectadas y para FortiSASE-Sovereign 25, 25.3 y 25.4, migrar a una versión corregida.

Hasta instalar la corrección de CVE-2026-126170, deshabilitar la API JSON en los perfiles de administrador afectados mediante set rpc-permit none, según el boletín FG-IR-26-219.

Para CVE-2026-126259, Fortinet ofrece un parche virtual en la actualización FMWP 26.082. Consultar el boletín FG-IR-26-273.

Detalle

CVE-2026-126253: un fallo en la autenticación de OSPF permite a un atacante desde una red adyacente difundir anuncios de estado de enlace (LSA) manipulados sin autenticarse.
CVE-2026-126229: el uso de una clave controlada por el usuario en dmserver permite a un administrador autenticado acceder a otros dominios virtuales (VDOM) mediante peticiones HTTP manipuladas.
CVE-2026-126261: una comprobación de autorización incorrecta antes de verificar la contraseña de registro permite a un atacante sin autenticar ejecutar código o comandos si puede acceder al servicio FGFM de FortiManager.
CVE-2026-126170: una codificación incorrecta de la salida de la API JSON-RPC permite ejecutar código o comandos mediante peticiones HTTP manipuladas sin autenticación. La explotación requiere que la API JSON esté habilitada.
CVE-2026-126254: un error de truncamiento numérico en BGP permite que un vecino iBGP configurado provoque una denegación de servicio mediante paquetes manipulados.
CVE-2026-126260: una falsificación de solicitudes del lado del servidor (SSRF) en OFTP podría permitir a un atacante sin autenticar ejecutar código o comandos mediante paquetes manipulados.
CVE-2026-126259: un fallo de autenticación en el procesamiento de paquetes de alta disponibilidad permite ejecutar comandos con privilegios de superadministrador. Afecta a configuraciones con FGSP y standalone-config-sync, o con escalado automático.
CVE-2026-126262: una inyección SQL en OFTP podría permitir ejecutar código o comandos sin autenticación en FortiAnalyzer y en FortiManager con las funciones de FortiAnalyzer habilitadas.

CVE

Identificador CVE	Severidad	Explotación	Fabricante
CVE-2026-126253	Crítica	No	FORTINET
CVE-2026-126229	Crítica	No	FORTINET
CVE-2026-126261	Crítica	No	FORTINET
CVE-2026-126170	Crítica	No	FORTINET
CVE-2026-126254	Crítica	No	FORTINET
CVE-2026-126260	Crítica	No	FORTINET
CVE-2026-126259	Crítica	No	FORTINET
CVE-2026-126262	Crítica	No	FORTINET