Se ha publicado un exploit de prueba de concepto público para la vulnerabilidad CVE-2026-106173, una vulnerabilidad crítica en Fortinet FortiSIEM que puede permitir que un atacante remoto escriba archivos y ejecute código sin necesidad de iniciar sesión.

El fallo afecta a FortiSIEM 7.5.0. Fortinet lanzó una corrección en la versión 7.5.1, mientras que la versión 7.6 no se ve afectada, según el informe publicado en el aviso de seguridad.

Fortinet reveló la vulnerabilidad el 13 de octubre de 2026, en su aviso de seguridad de FortiGuard. Posteriormente, Horizon3.ai publicó una investigación técnica y una prueba de concepto en GitHub.

La investigación muestra cómo un cliente no autenticado puede acceder a un servicio gRPC en el puerto TCP 27918 y abusar de su método SendQueryResult para escribir datos controlados por el atacante en el dispositivo FortiSIEM.

El servicio gRPC acepta datos de resultados de consultas y construye una ruta de archivo utilizando valores proporcionados por el cliente. Horizon3.ai descubrió que el servicio no verifica correctamente el ID de la consulta antes de añadirlo a la ruta. Mediante el uso de secuencias de salto de directorio (directory-traversal), un atacante puede dirigir la escritura del archivo fuera de la carpeta de resultados de consulta esperada.

El servicio también añade su propio texto al final del nombre del archivo. Pero Horizon3.ai descubrió que un byte nulo en un campo manipulado puede hacer que el sistema operativo interprete que la ruta termina prematuramente.

Vulnerabilidad RCE de Fortinet FortiSIEM

Esto puede permitir que un atacante apunte a un nombre de archivo existente exacto en lugar de limitarse al nombre de archivo generado por el servicio. La investigación indica que enviar la solicitud especialmente formada requiere construir manualmente el mensaje gRPC, ya que las herramientas y librerías comunes restringen los bytes nulos en los encabezados.

El fallo de escritura de archivos puede convertirse en una ejecución remota de código (RCE) si un atacante sobrescribe un script que el dispositivo ejecuta automáticamente. Horizon3.ai identificó /opt/charting/redishb.sh, un script que según indican es ejecutado por una tarea programada, como un archivo de interés.

Los investigadores también señalaron /opt/phoenix/bin/phLicenseTool como un archivo que los administradores deberían inspeccionar. La prueba de concepto publicada demuestra el riesgo, pero su lanzamiento por sí solo no demuestra que un sistema FortiSIEM en particular haya sido comprometido.

Debes comprobar si tus dispositivos FortiSIEM ejecutan la versión 7.5.0 y actualizarlos a la 7.5.1 o posterior. Se informa que FortiSIEM 7.6 no está afectado. Si no puedes realizar una actualización inmediata, restringe el acceso al puerto TCP 27918 a sistemas confiables y manténlo inaccesible desde la internet pública.

Horizon3.ai afirma que no encontró registros de aplicaciones que identifiquen claramente la explotación de este fallo. Los equipos que investiguen un posible compromiso deben revisar las horas de modificación de los archivos e inspeccionar los scripts mencionados en busca de cambios inesperados. Una discrepancia con las marcas de tiempo de los archivos del sistema cercanos puede justificar una investigación más detallada; sin embargo, esto no es una prueba de explotación por sí sola.

Este problema se suma a un historial de vulnerabilidades de FortiSIEM reportadas por Horizon3.ai, incluyendo CVE-2024-23108 y CVE-2025-64155. Los fallos anteriores involucraban el servicio phMonitor, mientras que la CVE-2026-106173 involucra un servicio gRPC independiente. Esa diferencia es importante para ti como defensor, porque revisar las protecciones de un servicio de FortiSIEM no asegura automáticamente otro.