Fortinet FortiOS y FortiProxy: CVE-2025-61624 explotada (KEV)

El 16 de octubre de 2026 la CISA añadió al catálogo Known Exploited Vulnerabilities (KEV) la CVE-2025-61624, una vulnerabilidad de tipo path traversal que afecta a varios productos de Fortinet: FortiOS, el sistema operativo de los cortafuegos FortiGate, FortiProxy, FortiPAM y FortiSwitchManager. El catálogo KEV recoge las vulnerabilidades de las que la CISA tiene pruebas de explotación activa.

Según la descripción de la ficha del NVD, la vulnerabilidad permite a un atacante autenticado, con un perfil de administrador y al menos permisos de lectura y escritura, escribir o borrar archivos arbitrarios en el sistema mediante comandos específicos de la CLI.

Qué ha pasado

La vulnerabilidad no es nueva: la ficha del NVD se publicó el 14 de abril de 2026, con referencia al boletín de Fortinet FG-IR-26-122. La novedad es su entrada en el catálogo KEV, que indica que se explota en ataques reales.

La CISA registró la vulnerabilidad como “Fortinet Multiple Products Path Traversal Vulnerability” y fijó el 19 de octubre de 2026 como plazo para las agencias federales estadounidenses: tres días, un plazo muy corto. El uso en campañas de ransomware figura como “desconocido”.

El aviso pide aplicar las mitigaciones según las instrucciones del fabricante, de acuerdo con la directiva BOD 26-04 sobre la priorización de las actualizaciones en función del riesgo y con los requisitos de triaje forense de la CISA. Si no hay mitigaciones disponibles, hay que dejar de usar el producto. El aviso pide también evaluar la exposición a Internet de cada sistema.

El catálogo no da detalles sobre los ataques observados, sus autores ni las víctimas.

Detalles técnicos

• CVE: CVE-2025-61624; ficha del NVD analizada y actualizada el 16 de octubre de 2026.
• Debilidad: CWE-22, limitación incorrecta de una ruta a un directorio restringido (path traversal).
• Requisito: una cuenta con perfil de administrador y al menos permisos de lectura y escritura.
• Efecto: escritura o borrado de archivos arbitrarios mediante comandos específicos de la CLI.
• Gravedad: las dos puntuaciones CVSS 3.1 son de nivel medio, pero difieren en el vector de ataque.
  • Fortinet asigna 6.0, AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H, con vector local;
  • el NVD asigna 6.5, AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H, con vector de red.
  • En ambos casos se necesitan privilegios elevados y el impacto es alto en integridad y disponibilidad, nulo en confidencialidad.
• Versiones afectadas (descripción de la ficha del NVD):
  • FortiOS de la 7.6.0 a la 7.6.4 y de la 7.4.0 a la 7.4.9; todas las versiones de las ramas 7.2, 7.0 y 6.4;
  • FortiPAM 1.7.0 y todas las versiones de las ramas de la 1.0 a la 1.6;
  • FortiProxy de la 7.6.0 a la 7.6.4 y de la 7.4.0 a la 7.4.11; todas las versiones de las ramas 7.2 y 7.0;
  • FortiSwitchManager de la 7.2.0 a la 7.2.7 y de la 7.0.0 a la 7.0.6.
• Primeras versiones no afectadas según los intervalos de la ficha del NVD: FortiOS 7.4.10 y 7.6.5, FortiPAM 1.7.1, FortiProxy 7.4.12 y 7.6.5, FortiSwitchManager 7.0.7 y 7.2.8. Para las ramas indicadas como “todas las versiones”, la ficha no indica una versión corregida en la misma rama.
• Otros productos: la ficha del NVD incluye también el firmware de Siemens RUGGEDCOM APE1808, con el boletín de Siemens SSA-975644.
• Referencias: además de los boletines de Fortinet y Siemens, la ficha del NVD cita un análisis de Unit 42 (Palo Alto Networks) sobre la CVE-2024-47575 de FortiManager y el malware PeerStitch. La ficha no explica la relación con esta vulnerabilidad.

Impacto para las empresas europeas e italianas

Los productos afectados suelen estar en el centro de la red: cortafuegos, proxies, gestión de accesos privilegiados y gestión de switches. Quien puede escribir o borrar archivos en estos equipos puede alterar su funcionamiento y su integridad, como indican los vectores CVSS.

La vulnerabilidad requiere una cuenta de administrador con permisos de escritura: la explotación presupone, por tanto, que el atacante ya dispone de esas credenciales o de un acceso equivalente. La puntuación media no es motivo para bajar la guardia: la CISA tiene pruebas de explotación activa y ha fijado un plazo de tres días.

Para las entidades incluidas en el ámbito de NIS2, el compromiso de un cortafuegos o de un sistema de gestión de accesos privilegiados es un incidente que hay que evaluar para su notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN. Lo mismo vale para los centros sanitarios, donde estos equipos protegen redes que tratan datos personales y clínicos.

Qué hacer ya

1. Haz inventario: identifica todos los equipos con FortiOS, FortiProxy, FortiPAM y FortiSwitchManager, físicos y virtuales, con la versión instalada. Si usas Siemens RUGGEDCOM APE1808, consulta el boletín SSA-975644.
2. Actualiza: sigue el boletín de Fortinet FG-IR-26-122 para la versión corregida de tu rama. Según la ficha del NVD, las primeras versiones no afectadas son FortiOS 7.4.10 y 7.6.5, FortiPAM 1.7.1, FortiProxy 7.4.12 y 7.6.5, FortiSwitchManager 7.0.7 y 7.2.8. Para las ramas en las que todas las versiones están afectadas, comprueba en el boletín la ruta de migración.
3. Si no puedes actualizar, aplica las mitigaciones indicadas por el fabricante. Si no las hay, la CISA indica dejar de usar el producto.
4. Evalúa la exposición, como pide el aviso de la CISA: comprueba desde qué redes se puede acceder a las interfaces de administración de los equipos.
5. Revisa los administradores: como buena práctica general, dado el requisito de la vulnerabilidad, revisa las cuentas con perfil de administrador y permisos de escritura y elimina las que no sean necesarias.
6. Busca rastros: revisa los registros de la actividad administrativa y de los comandos de la CLI en busca de accesos y operaciones inesperados. Si encuentras rastros, trata el equipo como comprometido, sigue las indicaciones de Fortinet y evalúa las obligaciones de notificación.

Cómo ayuda ARXDOME

ARX Sentry recoge en un colector central los registros de los cortafuegos y de los demás dispositivos de red y ofrece páginas dedicadas a los cortafuegos, con el estado del firmware: te ayuda a saber qué equipos hay que actualizar y a vigilar accesos y actividades anómalas. ARX Expose muestra qué servicios expone tu empresa en Internet, los productos reconocidos y sus vulnerabilidades conocidas. Con ARX Horizon puedes consultar desde el portal los detalles de las vulnerabilidades.

Última actualización: 16 de octubre de 2026