Más de 25,000 dispositivos Fortinet en todo el mundo con FortiCloud Single Sign-On (SSO) habilitado, lo que los deja potencialmente expuestos a ataques remotos. El hallazgo proviene de una identificación de dispositivos mejorada en un nuevo informe, que escaneó direcciones IP globales y marcó estos sistemas como que anuncian abiertamente su configuración de SSO. FortiCloud SSO simplifica la autenticación para el ecosistema de Fortinet,.

Más de 25,000 dispositivos Fortinet en todo el mundo con FortiCloud Single Sign-On (SSO) habilitado, lo que podría exponerlos a ataques remotos. Este hallazgo proviene de una identificación de dispositivos mejorada en un nuevo informe, que escaneó direcciones IP globales y marcó estos sistemas como anunciando públicamente su configuración SSO.

FortiCloud SSO simplifica la autenticación para el ecosistema de Fortinet, incluyendo firewalls, switches y puntos de acceso como la serie FortiGate. Si bien esto es conveniente para las empresas, exponer esta función públicamente puede alertar a los atacantes para que busquen debilidades.

La Shadowserver Foundation detectó al menos 25,000 IPs únicas en regiones como América del Norte, Europa y Asia-Pacífico. "Esto no es solo ruido, es una señal clara de interfaces de gestión expuestas", señaló el equipo en su aviso.

La exposición genera preocupación en medio de las recientes vulnerabilidades de Fortinet. En particular, CVE-2025-59718 y CVE-2025-59719, ambas calificadas como de alta gravedad por CVSS, afectan a los sistemas integrados con FortiCloud.

CVE-2025-59718 (CVSS 8.2) implica controles de acceso inadecuados en los endpoints SSO, lo que permite a atacantes remotos no autenticados omitir la autenticación en condiciones específicas. CVE-2025-59719 (CVSS 7.5) explota un manejo de sesiones débil, permitiendo la toma de control de cuentas si se combina con intentos de phishing o fuerza bruta.

Es importante destacar que no todos los dispositivos expuestos son vulnerables. El estado del parche, las peculiaridades de la configuración y la segmentación de la red juegan un papel clave. “La presencia en nuestro escaneo no confirma el riesgo de explotación”, advirtieron los investigadores. “Si recibes uno de nuestros informes de exposición, verifica inmediatamente la configuración de tu FortiCloud SSO y aplica los parches”.

Fortinet lanzó correcciones en sus actualizaciones de firmware de diciembre de 2025 (por ejemplo, FortiOS 7.4.4 y 7.2.9), instando a los administradores a deshabilitar la exposición pública de SSO siempre que sea posible.

Las mejores prácticas incluyen restringir el acceso a FortiCloud solo a VPN o IPs privadas, habilitar la autenticación de múltiples factores (MFA) y monitorear los registros en busca de tráfico SSO anómalo.

Las organizaciones deben priorizar los escaneos utilizando herramientas como Shodan o el servicio de los investigadores. Los clientes de Fortinet pueden consultar su portal de soporte para evaluaciones personalizadas. A medida que la seguridad administrada en la nube difumina las líneas entre el acceso local y remoto, la vigilancia sigue siendo fundamental para frustrar las amenazas remotas.