Un actor de amenazas supuestamente está ofreciendo un exploit privado de ejecución remota de código para los dispositivos Fortinet FortiGate SSL VPN, afirmando que las versiones FortiOS 7.2.x y 7.4.x están afectadas. Esta oferta, difundida por Dark Web Intelligence, no ha sido verificada independientemente, por lo que no se ha confirmado la existencia de una nueva vulnerabilidad de día cero.

Se alega que un actor de amenazas está ofreciendo un exploit privado de ejecución remota de código para dispositivos Fortinet FortiGate SSL VPN, afirmando que las versiones FortiOS 7.2.x y 7.4.x están afectadas. El anuncio no ha sido verificado de forma independiente y no confirma la existencia de una nueva vulnerabilidad de día cero en FortiGate.

El anuncio, compartido por Dark Web Intelligence, promociona lo que el vendedor describe como un exploit de "1 día" con capacidad de ejecución remota de código.

Según se informa, el exploit está destinado al acceso inicial contra servicios FortiGate SSL VPN expuestos. El actor también afirma tener un vídeo de prueba de concepto y dice que el precio está disponible a través de comunicación privada.

Sin embargo, el anuncio no menciona ningún CVE, no identifica las compilaciones exactas del firmware afectado, no explica si se requiere autenticación ni proporciona una descripción técnica de la supuesta vulnerabilidad.

Estas omisiones hacen que sea imposible determinar si el exploit reclamado se dirige a un fallo no revelado, a una vulnerabilidad antigua ya parcheada, a una evasión de una corrección existente o si se trata de un producto fraudulento.

Venden vulnerabilidad de 1 día de Fortinet FortiGate

Los dispositivos FortiGate siguen siendo objetivos de alto valor porque se despliegan comúnmente en los bordes de las redes empresariales para proporcionar servicios de firewall, VPN y acceso remoto.

Un error de ejecución remota de código previo a la autenticación en un dispositivo de este tipo podría permitir que los atacantes obtengan un punto de apoyo inicial, establezcan persistencia, roben credenciales, se desplacen hacia redes internas o desplieguen malware posterior.

Esta afirmación llega además en medio de la explotación continua de vulnerabilidades de Fortinet reveladas anteriormente. Investigadores de seguridad informaron recientemente de ataques que involucran el CVE-2025-25249, un desbordamiento de búfer basado en montículo (heap) no autenticado en FortiOS y FortiSwitchManager que puede permitir la ejecución de comandos mediante solicitudes manipuladas.

Fortinet lanzó parches en enero de 2026, pero los informes indican que los atacantes comenzaron a explotar la vulnerabilidad en operaciones reales en julio de 2026. Las versiones corregidas de FortiOS incluyen la 7.4.9 y la 7.2.12 para las ramas de lanzamiento afectadas.

Por separado, los atacantes han continuado abusando del CVE-2024-21762, un fallo crítico de escritura fuera de límites en el componente SSL VPN de FortiOS y FortiProxy.

La vulnerabilidad puede permitir la ejecución remota de código no autenticada a través de solicitudes HTTP especialmente diseñadas y ha sido vinculada a intrusiones recientes dirigidas a sistemas FortiGate expuestos.

Según una publicación de Dark Web Intelligence en X, Fortinet aconsejó previamente a las organizaciones que deshabilitaran el SSL VPN cuando no fuera posible realizar una actualización inmediata. Debes tratar la supuesta venta del exploit como una pista de inteligencia de amenazas, no como la confirmación de una vulnerabilidad recién descubierta.

Tu equipo de seguridad debe inventariar inmediatamente todos los dispositivos FortiGate orientados a Internet, verificar que las versiones de FortiOS estén soportadas y totalmente parcheadas, restringir el acceso administrativo y de VPN a redes confiables siempre que sea posible y revisar los registros en busca de actividad inusual en el SSL VPN.

También debes buscar nuevas cuentas de administrador, cambios de configuración inexplicables, sesiones de VPN sospechosas, procesos desconocidos y conexiones salientes desde los dispositivos de firewall.

Debido a que los dispositivos de borde pueden proporcionar acceso privilegiado a entornos internos, cualquier sospecha de compromiso debe activar la rotación de credenciales, la revisión de la configuración y una investigación de respuesta a incidentes más amplia.

Fuentes:
https://cybersecuritynews.com/hackers-selling-fortinet-fortigate-1-day-vulnerability/