Más de 3.280.081 dispositivos Fortinet estaban expuestos, con propiedades web que ejecutan dispositivos Fortinet vulnerables afectados por la CVE-2026-24858, una grave falla de omisión de autenticación explotada activamente en la naturaleza. La vulnerabilidad, calificada con 9,4 en la escala CVSS, afecta a múltiples líneas de productos de Fortinet, incluyendo FortiOS, FortiManager, FortiAnalyzer, FortiProxy y FortiWeb. 

Más de 3.280.081 dispositivos Fortinet quedaron expuestos, con propiedades web que ejecutan dispositivos Fortinet vulnerables afectados por CVE-2026-24858, una grave falla de bypass de autenticación explotada activamente en la naturaleza.

La vulnerabilidad, calificada con 9.4 en la escala CVSS, afecta a múltiples líneas de productos de Fortinet, incluyendo FortiOS, FortiManager, FortiAnalyzer, FortiProxy y FortiWeb.

Bypass de autenticación crítico explotado en ataques activos

CVE-2026-24858 permite a actores maliciosos con una cuenta de FortiCloud y un dispositivo registrado autenticarse en los dispositivos de otras organizaciones cuando el SSO de FortiCloud está habilitado.

Aunque esta función está desactivada por defecto, los administradores suelen habilitarla durante el registro de dispositivos en FortiCare, a menos que desactiven explícitamente la opción «Permitir inicio de sesión administrativo mediante SSO de FortiCloud».

La CISA agregó la vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas el 27 de enero de 2026, estableciendo una fecha límite de remediación para el 30 de enero de 2026, el mismo día de este informe.

Fortinet confirmó la explotación activa el 22 de enero de 2026, identificando dos cuentas maliciosas de FortiCloud, cloud-noc@mail.io y cloud-init@mail.io, responsables de los ataques.

Los actores maliciosos aprovecharon la vulnerabilidad para descargar configuraciones de dispositivos y establecer persistencia.

Crearon cuentas de administrador local con nombres comunes como «audit», «backup», «itadmin», «secadmin», «support», «svcadmin» o «system».

En respuesta, Fortinet desactivó temporalmente el SSO de FortiCloud el 26 de enero de 2026 y lo reactivó al día siguiente con restricciones basadas en versiones, bloqueando la autenticación de dispositivos vulnerables.

La vulnerabilidad afecta a una amplia gama de versiones en el portafolio de seguridad empresarial de Fortinet.

Las versiones de FortiOS 7.6.0 a 7.6.5, 7.4.0 a 7.4.10, 7.2.0 a 7.2.12 y 7.0.0 a 7.0.18 requieren parcheo inmediato.

FortiManager y FortiAnalyzer comparten rangos de versiones vulnerables similares, mientras que FortiProxy y FortiWeb enfrentan exposición en múltiples versiones principales. FortiSwitch Manager sigue bajo investigación.

Los parches ya están disponibles para algunas ramas: FortiOS requiere actualizarse a la versión 7.4.11 o 7.6.6, FortiManager a 7.4.10 o 7.6.6, y FortiAnalyzer a 7.2.12 o 7.0.16.

Según el aviso de Censys, las organizaciones que no puedan parchear de inmediato deben desactivar el SSO de FortiCloud y revisar todas las cuentas de administrador en busca de usuarios no autorizados que coincidan con los patrones de nombres creados por los atacantes.