Una vulnerabilidad crítica en la función de Inicio de Sesión Único (SSO) de Fortinet para los firewalls FortiGate, identificada como CVE-2025-59718, está siendo explotada activamente. Los atacantes la están utilizando para crear cuentas locales de administrador no autorizadas, lo que les otorga acceso administrativo completo a dispositivos expuestos en internet. Varios usuarios han reportado patrones de ataque idénticos, lo que ha llevado al equipo forense de PSIRT de Fortinet a investigar.

Una vulnerabilidad crítica en la función de Single Sign-On (SSO) de Fortinet para firewalls FortiGate, identificada como CVE-2025-59718, está siendo explotada activamente.

Los atacantes la están utilizando para crear cuentas locales de administrador no autorizadas, otorgando acceso administrativo completo a dispositivos expuestos a internet.

Varios usuarios han reportado patrones de ataque idénticos, lo que ha llevado al equipo forense de PSIRT de Fortinet a investigar.

La CVE-2025-59718 afecta al mecanismo de inicio de sesión SSO de FortiCloud en FortiOS. Permite a atacantes remotos autenticarse mediante inicios de sesión SSO maliciosos, eludiendo los controles estándar.

La falla persiste a pesar de los parches, permitiendo la escalada de privilegios en firewalls que usan SAML o FortiCloud SSO para la autenticación de administradores.

No se ha publicado aún una puntuación CVSS, pero los impactos en el mundo real son graves: los atacantes crean cuentas traseras como “helpdesk” con privilegios completos del sistema. Los dispositivos deben estar expuestos a internet con SSO habilitado para que sean explotables.

Explotación en la naturaleza

El usuario de Reddit u/csodes y otros detallaron incidentes en FortiGate 7.4.9 (por ejemplo, modelos FGT60F). Un inicio de sesión SSO malicioso desde la misma dirección IP activó la creación de un administrador local, detectado mediante alertas de SIEM. Las víctimas confirmaron despliegues desde finales de diciembre de 2025, descartando versiones anteriores.

Una organización señaló: “Nuestro script de política Local-In falló y el dispositivo era accesible desde internet”. Otra, que usa SAML, reportó la cuenta “helpdesk”. Hay tickets de soporte abiertos, y el equipo de desarrolladores de Fortinet confirmó la persistencia del problema. Carl Windsor, del PSIRT, lidera la investigación forense.

Estos ataques coordinados sugieren una campaña de actores de amenazas dirigida a FortiGates sin parchear. Fortinet reconoce que el problema persiste en la versión 7.4.10. Las correcciones están programadas para las próximas versiones.

A mediados de diciembre, Shadowserver descubrió que más de 25.000 dispositivos Fortinet eran accesibles públicamente en línea, y muchos de ellos tenían activada la función de Single Sign-On (SSO) de FortiCloud.

Las versiones anteriores también podrían verse afectadas; revisa el aviso de Fortinet.

Solución temporal inmediata

Desactiva los inicios de sesión SSO de FortiCloud mediante CLI para bloquear la explotación:

textconfig system global
set admin-forticloud-sso-login disable
end

Esto evita ataques basados en SSO sin interrumpir la autenticación local o SAML. Vuelve a habilitarlo después de aplicar el parche. Fortinet insta a implementar esta medida ahora, especialmente en firewalls expuestos a internet.

• Revisión de registros: Busca inicios de sesión SSO sospechosos y nuevos administradores (por ejemplo, “helpdesk”).
• Segmentación de red: Restringe el acceso de administradores; aplica políticas Local-In.
• Monitoreo: Integra SIEM para detectar cambios en administradores; analiza IOCs como IPs/logins coincidentes.
• Parcheo: Actualiza a las versiones corregidas cuando estén disponibles; prueba en entornos de staging.
• Respuesta empresarial: Si hay compromiso, rota credenciales, aísla dispositivos y contacta al soporte de Fortinet.

Fortinet promete publicar avisos pronto. Este incidente subraya los riesgos de SSO en firewalls, la importancia de desactivar funciones innecesarias y el monitoreo agresivo. Mantente atento a la puntuación CVSS y a los IOCs completos.