Fortinet solucionó una vulnerabilidad crítica en FortiClient que permitía a un atacante ejecutar código en el equipo de una víctima simplemente al visitar una página web maliciosa. La falla, registrada como CVE-2026-121529 y reportada por el investigador Kevin Joensen de Baldur Security (apodada “Fortinet2Shell”), se debe a una validación de origen incorrecta en un endpoint de API local (CWE-346) provocada por una configuración errónea de CORS. Fortinet publicó el aviso el 10 de noviembre de 2026 y calificó el problema como crítico (CVSS v3 9.1), indicando que el ataque puede realizarse sin autenticación, requiere interacción del usuario y resulta en escalada de privilegios y cambio de alcance.

El servicio afectado corre localmente en la máquina del usuario y acepta solicitudes de páginas web sin verificar correctamente su origen. Un sitio controlado por el atacante puede enviar comandos a ese servicio y disparar ejecución de código arbitrario; Joensen indica que la explotación es fiable cuando FortiPAM está habilitado. Fortinet aclara que la explotación necesita la interacción del usuario (visitar el sitio malicioso) y no hay parche virtual disponible, por lo que la actualización es la única solución recomendada.

Indicadores y señales de compromiso útiles para detección incluyen: presencia de un servicio escuchando en el puerto TCP 9191 y el proceso FortiVRS.exe en sistemas Windows. Equipos de seguridad deberían priorizar la búsqueda de esos indicadores en su parque y parchear primero los sistemas que los presenten. Fortinet también recuerda que otras vulnerabilidades en FortiClient han sido corregidas este año, por lo que mantener los agentes actualizados es crítico.