Ejecución remota de código en Fortinet – CVE-2026-126170
Se identificó una vulnerabilidad crítica en diversos productos de Fortinet, identificada como CVE-2026-126170, que podría permitir a un atacante remoto y sin autenticación ejecutar código o comandos arbitrarios mediante el envío de solicitudes HTTP especialmente diseñadas.
La falla se origina por una codificación o escape inadecuado de las salidas (Improper Encoding or Escaping of Output), que afecta el mecanismo de comunicación JSON-RPC de los productos vulnerables.
Su explotación exitosa podría permitir a un atacante obtener control no autorizado sobre los dispositivos afectados, comprometiendo la confidencialidad, integridad y disponibilidad de la información, así como facilitar el acceso a otros recursos de la infraestructura administrada.
Versiones Afectadas
| Producto | Versiones afectadas |
|---|---|
| FortiManager | 8.0.0 – 8.0.2 / 7.6.0 – 7.6.7 |
| FortiAnalyzer | 8.0.0 – 8.0.2 / 7.6.0 – 7.6.7 |
| FortiManager Cloud | 8.0.1 – 8.0.2 / 7.6.0 – 7.6.7 |
| FortiAnalyzer Cloud | 8.0.1 – 8.0.2 / 7.6.0 – 7.6.7 |
| FortiAnalyzer-BigData | 7.6.0 – 7.6.2 |
Recomendaciones
- Actualizar: instalar las versiones corregidas proporcionadas por Fortinet, de acuerdo con el producto y la rama correspondiente:
-
- FortiManager / FortiAnalyzer 7.6: 7.6.8 o superior.
- FortiManager / FortiAnalyzer 8.0: 8.0.3 o superior.
- FortiAnalyzer-BigData 7.6: 7.6.3 o superior.
2. Restringir el acceso: limitar las interfaces de administración y los servicios de API a redes y direcciones IP autorizadas, evitando su exposición directa a Internet.
3. Deshabilitar API JSON-RPC: como medida temporal, si no es necesaria, establecer rpc-permit none en los perfiles administrativos correspondientes:
config system admin profile
edit <nombre_del_perfil>
set rpc-permit none
end
4. Monitorear: revisar los registros del sistema para identificar solicitudes HTTP/JSON-RPC inusuales, cargas útiles codificadas o caracteres inesperados, así como intentos de ejecución de comandos y modificaciones administrativas no autorizadas.
5. Implementar controles adicionales: utilizar reglas de WAF para inspeccionar y filtrar solicitudes HTTP sospechosas como capa adicional de protección. Esta medida no sustituye la actualización ni la deshabilitación de la API vulnerable.
CVEs
Taxonomía
| Táctica | Técnica | ID |
|---|---|---|
| Initial Access | Exploit Public-Facing Application | T1190 |
| Execution | Command and Scripting Interpreter | T1059 |
