🔍 ¿Qué está pasando exactamente?

La vulnerabilidad CVE-2026-24858 permite a un atacante eludir la autenticación en múltiples productos de Fortinet, incluyendo:

• FortiGate / FortiOS 
• FortiManager
• FortiAnalyzer
• FortiProxy

El vector de ataque se basa en el uso indebido de FortiCloud SSO. Si esta función está habilitada, un atacante con una cuenta válida de FortiCloud podría autenticarse en dispositivos de otras organizaciones.

👉 Aunque esta opción no viene activada por defecto, puede habilitarse automáticamente durante el registro del dispositivo si no se desactiva manualmente.

¿Por qué esta amenaza es tan crítica? 

Porque rompe uno de los principios más importantes de la seguridad: el control de acceso.

Los atacantes están utilizando FortiCloud SSO como una puerta trasera legítima, lo que les permite:

• Acceder como administradores sin credenciales internas
• Evadir mecanismos tradicionales de autenticación
• Mantener acceso persistente sin ser detectados fácilmente

¿Qué hacen los atacantes una vez dentro?

Los incidentes analizados muestran un patrón claro de ataque:

• Creación de cuentas de administrador locales (persistencia).
• Extracción de archivos de configuración completos.
• Obtención de credenciales (incluso si están cifradas de forma reversible).
• Movimiento lateral hacia sistemas internos.
• Escalada rápida dentro de la red corporativa.

En muchos casos, esto permite pasar de un firewall comprometido a una intrusión completa en la red interna en cuestión de tiempo.

Impacto real para las organizaciones

Si esta vulnerabilidad es explotada, el atacante puede obtener:

🔓 Control total del dispositivo perimetral

🔓 Modificación de reglas de seguridad y firewall

🔓 Acceso a credenciales críticas (LDAP / Active Directory)

🔓 Acceso a sistemas internos y datos sensibles

Lo que empieza en el perímetro puede terminar en una brecha total de la organización.

🛡️ ¿Cómo protegerte? (Acciones urgentes)

• 🔧 1. Actualiza inmediatamente: Aplica los parches de seguridad disponibles para CVE-2026-24858 en todos los dispositivos afectados.
• 🔒 2. Desactiva FortiCloud SSO (si no es crítico): Desactiva: “Permitir inicio de sesión administrativo mediante FortiCloud SSO”
• 🌐 3. Limita el acceso administrativo: Solo desde redes internas confiables o VPN seguras.
• 🔑 4. Cambia credenciales expuestas: Cuentas de servicio LDAP, Active Directory y cualquier credencial almacenada en configuraciones.
• 🧾 5. Audita tu entorno: Inicios de sesión sospechosos, nuevas cuentas de administrador y exportaciones de configuración no autorizadas. 👉 Restaura configuraciones seguras y elimina accesos no autorizados.
• 📊 6. Centraliza y conserva logs: Integra con SIEM o syslog, Mantén registros al menos 14 días (ideal: 60–90 días).