Fortinet desactivó temporalmente su servicio de Inicio de Sesión Único (SSO) de FortiCloud tras confirmar la explotación activa de una vulnerabilidad de día cero de omisión de autenticación en múltiples productos. El problema, identificado como FG-IR-26-060, permite a atacantes con una cuenta maliciosa de FortiCloud iniciar sesión en dispositivos registrados en otras cuentas. 

Fortinet desactivó temporalmente su servicio de Inicio de Sesión Único (SSO) de FortiCloud tras confirmar la explotación activa de una vulnerabilidad de día cero de omisión de autenticación en múltiples productos.

El problema, identificado como FG-IR-26-060, permite a atacantes con una cuenta maliciosa de FortiCloud iniciar sesión en dispositivos registrados bajo otras cuentas.

La falla proviene de una vulnerabilidad de Omisión de Autenticación mediante una Ruta o Canal Alternativo (CWE-288). Afecta a FortiOS, FortiManager y FortiAnalyzer cuando el SSO de FortiCloud está habilitado, una función que no está activa por defecto pero que suele activarse durante el registro en FortiCare a menos que se deshabilite explícitamente.

Los atacantes explotan esto para obtener acceso administrativo en dispositivos objetivo, incluso aquellos completamente parcheados contra problemas relacionados anteriores. Fortinet señala que la vulnerabilidad también afecta a todas las implementaciones de SAML SSO, aunque hasta ahora la explotación se ha limitado al SSO de FortiCloud.

Los productos FortiWeb y FortiSwitch Manager siguen bajo investigación, sin parches confirmados aún.

Versiones Afectadas y Soluciones

Múltiples ramas de versiones en los productos afectados requieren actualizaciones para mitigar el problema. Fortinet ha detallado las versiones corregidas específicas, muchas de las cuales estarán disponibles a partir del 27 de enero de 2026.

Producto	Versiones Afectadas	Solución
FortiAnalyzer 7.6	7.6.0 a 7.6.5	Actualizar a 7.6.6 o superior
FortiAnalyzer 7.4	7.4.0 a 7.4.9	Actualizar a 7.4.10 o superior
FortiAnalyzer 7.2	7.2.0 a 7.2.11	Actualizar a 7.2.12 o superior
FortiAnalyzer 7.0	7.0.0 a 7.0.15	Actualizar a 7.0.16 o superior
FortiAnalyzer 6.4	No afectado	N/A
FortiManager 7.6	7.6.0 a 7.6.5	Actualizar a 7.6.6 o superior
FortiManager 7.4	7.4.0 a 7.4.9	Actualizar a 7.4.10 o superior
FortiManager 7.2	7.2.0 a 7.2.11	Actualizar a 7.2.13 o superior
FortiManager 7.0	7.0.0 a 7.0.15	Actualizar a 7.0.16 o superior
FortiManager 6.4	No afectado	N/A
FortiOS 7.6	7.6.0 a 7.6.5	Actualizar a 7.6.6 o superior
FortiOS 7.4	7.4.0 a 7.4.10	Actualizar a 7.4.11 o superior
FortiOS 7.2	7.2.0 a 7.2.12	Actualizar a 7.2.13 o superior
FortiOS 7.0	7.0.0 a 7.0.18	Actualizar a 7.0.19 o superior
FortiOS 6.4	No afectado	N/A
FortiProxy 7.6	7.6.0 a 7.6.4	Actualizar a 7.6.6 o superior
FortiProxy 7.4	7.4.0 a 7.4.12	Actualizar a 7.4.13 o superior
FortiProxy 7.2	Todas las versiones	Migrar a una versión corregida
FortiProxy 7.0	Todas las versiones	Migrar a una versión corregida

Los clientes deben usar la herramienta de actualización de Fortinet para seguir las rutas recomendadas.

Indicadores de Compromiso

Los atacantes utilizaron cuentas específicas de FortiCloud, direcciones IP y tácticas posteriores a la explotación. Fortinet insta a revisar los registros y cuentas de administrador en busca de estos signos.

Categoría	IoCs
Cuentas de Usuario SSO	cloud-noc@mail[.]io, cloud-init@mail[.]io
Direcciones IP (Principales)	104.28.244[.]115, 104.28.212[.]114, 104.28.212[.]115, 104.28.195[.]105, 104.28.195[.]106, 104.28.227[.]106, 104.28.227[.]105, 104.28.244[.]114
Direcciones IP (Otras)	37.1.209[.]19, 217.119.139[.]50
Administradores Locales Maliciosos	audit, backup, itadmin, secadmin, support, backupadmin, deploy, remoteadmin, security, svcadmin, system

Los patrones clave en los registros incluyen inicios de sesión exitosos mediante SSO (logid="0100032001") desde IPs sospechosas y creación de administradores (logid="0100044547"). Tras la intrusión, los actores descargaron configuraciones y añadieron administradores de puerta trasera para mantener la persistencia.

Cronología y Respuesta

Fortinet bloqueó las cuentas maliciosas el 22 de enero de 2026 tras detectar explotación en la naturaleza. La compañía deshabilitó el servidor de FortiCloud SSO el 26 de enero, restaurándolo el 27 de enero con bloqueos para dispositivos vulnerables. El aviso PSIRT FG-IR-26-060 se publicó el mismo día.

Esto sigue a los avisos de diciembre de 2025 (FG-IR-25-647) sobre omisiones de SSO relacionadas (CVE-2025-59718, CVE-2025-59719), corregidas en algunas ramas pero eludidas aquí mediante una nueva ruta.

Las acciones inmediatas incluyen restringir el acceso de administrador mediante políticas local-in a IPs de confianza y deshabilitar el SSO de FortiCloud si es necesario. CLI para FortiOS/FortiProxy: config system global; set admin-forticloud-sso-login disable; end. Para FortiManager/FortiAnalyzer: config system saml; set forticloud-sso disable; end.

Tras un compromiso: actualiza el firmware, restaura configuraciones limpias, rota credenciales y audita las conexiones VPN/LDAP. Monitorea el PSIRT de Fortinet para parches. Aún no hay puntuación CVSS, ya que es un día cero sin asignación de CVE.

Fuentes:
https://cybersecuritynews.com/fortinet-disabled-forticloud-sso-0-day/