Fortinet: parches urgentes fuera de ciclo, detalles en noviembre

El 22 de octubre de 2026 Fortinet anunció una Security Hardening Release: un paquete de actualizaciones fuera de su calendario habitual que corrige vulnerabilidades de gravedad crítica y alta en varios productos, entre ellos FortiOS, FortiManager y FortiAnalyzer. Todavía no hay detalles técnicos: según el aviso de INCIBE-CERT, los boletines con los identificadores CVE, las puntuaciones CVSS y el impacto de cada fallo se publicarán el 10 de noviembre de 2026. Mientras tanto, el fabricante pide actualizar ya, empezando por los dispositivos expuestos a Internet.

Qué ha pasado

Según CERT.LV e INCIBE-CERT, las vulnerabilidades surgieron de las revisiones de seguridad proactivas que Fortinet realiza sobre sus propios productos, con pruebas asistidas por inteligencia artificial. En menos de un día varios CSIRT nacionales difundieron el anuncio: el CERT de Letonia, el CCB belga (que en el titular pide aplicar los parches de inmediato), INCIBE-CERT en España, que clasifica el aviso con importancia 5, «crítica», y lo marca como preliminar, y el Canadian Centre for Cyber Security con el aviso AV26-1081. heise Security habla de actualizaciones urgentes fuera de la cadencia habitual.

La lista de productos no es la misma en todas las fuentes:

• CERT.LV cita solo FortiOS, FortiManager y FortiAnalyzer;
• INCIBE-CERT y el centro canadiense añaden FortiMail y FortiAuthenticator, con las versiones afectadas y las corregidas;
• INCIBE-CERT indica que el anuncio también abarca FortiSASE, FortiManager Cloud y los despliegues en nubes públicas, sin especificar versiones.

Ninguna de las fuentes informa, por ahora, de explotación activa de las vulnerabilidades.

Versiones afectadas y versiones corregidas

Las versiones coinciden en los avisos de INCIBE-CERT y del Canadian Centre for Cyber Security. Cuidado con la rama 7.4: en FortiOS la versión corregida es la 7.4.13, en FortiManager y FortiAnalyzer la 7.4.12.

Producto	Versiones afectadas	Versión corregida (o posterior)
FortiOS	8.0.0–8.0.1 · 7.6.0–7.6.7 · 7.4.0–7.4.12 · 7.2.0–7.2.13	8.0.2 · 7.6.8 · 7.4.13 · 7.2.14
FortiManager y FortiAnalyzer	8.0.0–8.0.1 · 7.6.0–7.6.7 · 7.4.0–7.4.11 · 7.2.0–7.2.12	8.0.2 · 7.6.8 · 7.4.12 · 7.2.13
FortiMail	8.0.0–8.0.1 · 7.6.0–7.6.6 · 7.4.0–7.4.8 · 7.2.0–7.2.9	8.0.2 · 7.6.7 · 7.4.9 · rama 7.2: sin corrección
FortiAuthenticator	8.0.0–8.0.3 · 6.6.0–6.6.10	8.0.4 · 6.6.11

En FortiMail 7.2 no hay corrección dentro de la rama: el centro canadiense indica pasar a la rama 7.4 o posterior. Para los servicios en la nube, INCIBE-CERT señala que FortiSASE se actualizará automáticamente, que FortiManager Cloud puede requerir una actualización manual y que en las instancias de nubes públicas hay que seguir el procedimiento del proveedor.

Qué se sabe y qué no

Por ahora falta la información que normalmente sirve para valorar el riesgo: cuántas vulnerabilidades son, qué componentes afectan, el vector de ataque, si requieren autenticación, las puntuaciones. Por eso no es posible indicar técnicas de MITRE ATT&CK ni indicadores de compromiso. Sin embargo, dos elementos ayudan a fijar prioridades:

• todas las recomendaciones de los organismos se centran en las interfaces de administración accesibles por HTTPS y SSH y en las cuentas de administrador;
• INCIBE-CERT pide de forma explícita no exponer FortiManager a Internet.

El objetivo práctico es llegar al 10 de noviembre con los equipos ya actualizados, como piden el fabricante y los organismos, y revisarlo todo de nuevo cuando los boletines sean públicos.

Impacto para las empresas europeas e italianas

Los productos afectados ocupan puntos centrales de la red: FortiOS es el sistema de los cortafuegos FortiGate, a menudo en la frontera entre la red corporativa e Internet; FortiManager y FortiAnalyzer centralizan su configuración y sus registros; FortiAuthenticator gestiona la autenticación y FortiMail el correo. Una vulnerabilidad crítica en cualquiera de estos sistemas puede afectar a todo el perímetro o a toda la flota de equipos gestionados.

Para las entidades NIS2, reguladas en Italia por el Decreto Legislativo 138/2024, la gestión ágil de vulnerabilidades y actualizaciones forma parte de las medidas de seguridad exigidas: conviene documentar inventario, decisiones y plazos de intervención. En el sector sanitario, donde los cortafuegos protegen también redes con dispositivos médicos y sistemas clínicos, la actualización debe planificarse con ventanas de mantenimiento breves y próximas, sin esperar a los detalles de noviembre.

Qué hacer ya

1. Haz inventario: identifica todos los equipos FortiOS, FortiManager, FortiAnalyzer, FortiMail y FortiAuthenticator y su versión instalada, incluidas las instancias en nubes públicas y FortiManager Cloud.
2. Actualiza a las versiones de la tabla, o posteriores de la misma rama, empezando por los dispositivos expuestos a Internet.
3. Guarda una copia de la configuración antes de cada actualización, como recomienda INCIBE-CERT.
4. Si no puedes actualizar de inmediato: limita el acceso a las interfaces de administración HTTPS y SSH a direcciones de confianza, activa la autenticación multifactor en las cuentas de administrador y saca FortiManager de Internet.
5. FortiMail 7.2: planifica la migración a la rama 7.4 o posterior.
6. Servicios en la nube: comprueba que la actualización automática de FortiSASE se ha aplicado, verifica si FortiManager Cloud requiere una intervención manual y sigue el procedimiento del proveedor para las instancias en nubes públicas.
7. El 10 de noviembre lee los boletines: vuelve a revisar versiones y configuraciones a la luz de las CVE publicadas y analiza los registros de los accesos de administración.

Cómo ayuda ARXDOME

ARX Sentry tiene páginas dedicadas a los cortafuegos con el estado del firmware, útiles para ver enseguida qué equipos quedan por actualizar. ARX Expose muestra lo que tu empresa expone en Internet, con puertos abiertos y productos reconocidos, y ARX Scout verifica de primera mano los puertos y servicios de tus direcciones públicas y te avisa cuando se abre un servicio antes cerrado: juntos ayudan a descubrir una interfaz de administración accesible desde fuera. Por último, ARX Radar señala quién está atacando tu perímetro en este momento, por ejemplo con intentos de fuerza bruta contra los servicios expuestos.

Última actualización: 23 de octubre de 2026