Fortinet publicó un amplio conjunto de avisos de seguridad el 14 de abril de 2026, abordando 11 vulnerabilidades que afectan a múltiples líneas de productos, incluyendo dos clasificadas como Críticas, dos como Altas y siete como Medias o Bajas. Las divulgaciones impactan a FortiSandbox, FortiAnalyzer, FortiManager, FortiOS, FortiProxy, FortiPAM y FortiSwitchManager, instando a los administradores empresariales a priorizar la aplicación de parches de inmediato. 

Fortinet publicó un amplio lote de avisos de seguridad el 14 de abril de 2026, abordando 11 vulnerabilidades que afectan a múltiples líneas de productos, incluyendo dos clasificadas como Críticas, dos como Altas y siete como Medias o Bajas.

Las divulgaciones afectan a FortiSandbox, FortiAnalyzer, FortiManager, FortiOS, FortiProxy, FortiPAM y FortiSwitchManager, instando a los administradores de empresas a priorizar la aplicación de parches de inmediato.

Fallas Críticas en FortiSandbox PaaS exigen atención inmediata

La vulnerabilidad más grave en este lote de avisos es CVE-2026-39808 (FG-IR-26-100), una falla de inyección de comandos del sistema operativo clasificada como Crítica en FortiSandbox y FortiSandbox PaaS.

Basada en CWE-122 (Neutralización inadecuada de elementos especiales usados en un comando del sistema), esta vulnerabilidad accesible a través de API sin autenticación afecta a las versiones 4.4.4 a 4.4.8 de FortiSandbox y a las versiones de FortiSandbox PaaS hasta la 23.4.4374.

Un atacante remoto no autenticado podría explotar esta falla para ejecutar comandos arbitrarios del sistema operativo en el sistema subyacente, lo que podría llevar a la compromisión total del dispositivo.

Igualmente alarmante es CVE-2026-39813 (FG-IR-26-112), una vulnerabilidad Crítica de recorrido de directorios (CWE-24) en la API JRPC de FortiSandbox.

Esta falla sin autenticación afecta a las versiones 5.0.1 a 5.0.5 de FortiSandbox y podría permitir a los atacantes eludir mecanismos de autenticación por completo y escalar privilegios sin credenciales válidas, convirtiéndola en una de las divulgaciones más peligrosas de este ciclo de publicación.

Clasificada como Alta, CVE-2026-22828 (FG-IR-26-121) describe un desbordamiento de búfer basado en heap (CWE-122) en el demonio oftpd de FortiAnalyzer Cloud y FortiManager Cloud.

Afectando a las versiones 7.6.2 a 7.6.4, esta vulnerabilidad expuesta a la red y sin autenticación podría ser aprovechada por un atacante remoto para ejecutar código arbitrario o bloquear el servicio afectado. No se requiere autenticación, lo que aumenta significativamente su perfil de explotabilidad.

Brechas de autenticación y control de acceso

CVE-2025-53847 (FG-IR-26-125) expone una falla de falta de autenticación para una función crítica (CWE-306) en el demonio CAPWAP de FortiOS y FortiSwitchManager.

Clasificada como Media y accesible sin autenticación desde una red interna, la vulnerabilidad afecta a FortiOS 7.4.8 a 7.6.3, convirtiéndose en una prioridad para organizaciones que operan entornos de red empresariales segmentados.

CVE-2026-27316 (FG-IR-26-113) revela una vulnerabilidad de credenciales insuficientemente protegidas (CWE-522) en la interfaz web de FortiSandbox y FortiSandbox PaaS, específicamente en la página de configuración LDAP.

Clasificada como Baja, esta falla autenticada y accesible externamente afecta a FortiSandbox 5.0.1–5.0.5 y a las versiones PaaS hasta la 23.4.4374, pudiendo exponer credenciales de enlace LDAP a usuarios autenticados con acceso a la interfaz gráfica.

Vulnerabilidades de recorrido de directorios, Cross-Site Scripting e inyección SQL

Fortinet abordó tres vulnerabilidades separadas de recorrido de directorios en esta publicación. CVE-2026-25691 (FG-IR-26-115) afecta a la función de eliminación de imágenes vmimages de FortiSandbox, permitiendo la eliminación arbitraria de directorios por parte de usuarios autenticados de la interfaz gráfica.

CVE-2025-68649 (FG-IR-26-120) afecta a las interfaces CLI de FortiAnalyzer, FortiAnalyzer Cloud, FortiManager y FortiManager Cloud en las ramas 7.6.x y 7.4.x, mientras que CVE-2025-61624 (FG-IR-26-122) impacta en los componentes CLI de FortiOS, FortiPAM, FortiProxy y FortiSwitchManager en múltiples versiones. Las tres están clasificadas como Medias y requieren acceso interno autenticado.

También se revelaron múltiples vulnerabilidades XSS en esta publicación. CVE-2026-39812 (FG-IR-26-110) introduce riesgos de XSS almacenado en FortiSandbox y FortiSandbox PaaS 5.0.1–5.0.5, mientras que CVE-2025-61886 (FG-IR-26-109) describe una falla de XSS reflejado en la interfaz del Centro de Operaciones de FortiSandbox, accesible para usuarios no autenticados desde una posición interna.

Para cerrar las divulgaciones, CVE-2025-61848 (FG-IR-26-111) es una vulnerabilidad de inyección SQL (CWE-89) a través de la API JSON RPC en FortiAnalyzer y FortiManager versiones 7.6.1–7.6.4, así como en sus contrapartes en la nube. Se requiere acceso interno autenticado, pero una explotación exitosa podría permitir a los atacantes manipular consultas a la base de datos backend.

Acciones recomendadas

Los equipos de seguridad deben priorizar la aplicación de parches en el siguiente orden, basado en la gravedad y el vector de ataque:

• Inmediatamente: CVE-2026-39808 y CVE-2026-39813 (Críticas, fallas sin autenticación en FortiSandbox)
• Con urgencia: CVE-2026-22828 (Alta, desbordamiento de heap sin autenticación en FortiAnalyzer/FortiManager Cloud)
• Alta prioridad: CVE-2025-53847 (Media, demonio CAPWAP sin autenticación en FortiOS)
• Parcheo programado: Todas las demás vulnerabilidades Medias y Bajas en FortiSandbox, FortiAnalyzer, FortiManager, FortiOS, FortiProxy, FortiPAM y FortiSwitchManager

Los administradores deben consultar el portal PSIRT de Fortinet para obtener las versiones corregidas específicas y aplicar los parches disponibles sin demora.

Fuentes:
https://cybersecuritynews.com/fortinet-patches-11-vulnerabilities/