Fortinet te ha instado a priorizar las actualizaciones de seguridad para FortiOS, FortiManager y FortiAnalyzer programadas para el 22 de octubre de 2026. El lanzamiento coordinado aborda vulnerabilidades críticas y de alta gravedad, incluyendo fallos detectados mediante pruebas de seguridad asistidas por IA. La empresa señaló que debes atender primero los dispositivos orientados a internet.

En un anuncio del 21 de octubre, el Director de Seguridad de la Información de Fortinet, Carl Windsor, te advirtió que no trates estas correcciones como un mantenimiento rutinario. La actualización sigue a los lanzamientos de seguridad para FortiMail y FortiAuthenticator, extendiendo el esfuerzo de parcheo a varios productos clave.

Fortinet afirmó que su programa de pruebas utiliza modelos de IA avanzados para examinar rutas de código, manejo de protocolos y lógica de configuración. La compañía agradeció a Anthropic, OpenAI, Google y SpaceX por su trabajo con sus equipos de seguridad.

La preocupación va más allá de encontrar nuevos errores. Fortinet te advirtió que los atacantes pueden usar la IA para comparar el software parcheado con versiones anteriores, identificar el código cambiado y crear exploits en cuestión de horas o días. Este proceso, conocido como patch diffing, puede exponer debilidades antes de que termines de actualizar.

La IA también puede ayudar a los atacantes a combinar fallos de menor gravedad en una cadena de ataque más seria. Sin embargo, el anuncio no proporciona identificadores CVE individuales, puntuaciones CVSS ni condiciones de ataque detalladas para este lanzamiento. Tampoco informa de una explotación activa de estos fallos recién corregidos.

Su informe de pruebas anterior también destacó la revisión humana. Los analistas de seguridad validan los hallazgos de la IA y comprueban si son explotables, ayudando a separar las vulnerabilidades reales de las falsas alarmas y recomendando mejoras de seguridad para el producto.

Versiones Afectadas y Actualizaciones Requeridas

Si eres cliente de FortiOS, debes pasar a la versión 8.0.2, 7.6.8, 7.4.13 o 7.2.14, dependiendo de tu rama actual. Las versiones afectadas abarcan desde la 8.0.0–8.0.1, 7.6.0–7.6.7, 7.4.0–7.4.12 y 7.2.0–7.2.13.

FortiManager y FortiAnalyzer comparten las mismas versiones mínimas corregidas: 8.0.2, 7.6.8, 7.4.12 y 7.2.13. Sus versiones afectadas cubren la 8.0.0–8.0.1, 7.6.0–7.6.7, 7.4.0–7.4.11 y 7.2.0–7.2.12. Fortinet indica que todas estas actualizaciones estarán disponibles el 22 de octubre.

Para FortiMail, las versiones corregidas son 8.0.2, 7.6.7 y 7.4.9. Si utilizas versiones afectadas de FortiMail 7.2, debes moverte a la rama 7.4 o posterior. Los usuarios de FortiAuthenticator deben instalar la 8.0.4 o 6.6.11, según su rama.

Fortinet planea publicar avisos públicos en su página de PSIRT el 10 de noviembre. Su aviso indica que FortiSASE recibirá actualizaciones automáticas antes del lanzamiento coordinado. Las actualizaciones de FortiManager Cloud pueden requerir una acción manual, mientras que las actualizaciones de la nube pública siguen el proceso de lanzamiento del proveedor de nube correspondiente.

El intervalo entre la disponibilidad del firmware y la divulgación pública completa te da tiempo para actualizar antes de que aparezcan los avisos detallados. Esto no significa que los dispositivos expuestos puedan esperar tranquilamente hasta noviembre. Fortinet te pide explícitamente que actúes cuando las actualizaciones estén disponibles, en lugar de retrasarte esperando los detalles técnicos.

PHP y Node.js Aumentan la Presión del Parcheo

La advertencia llega junto con lanzamientos de seguridad independientes de PHP y Node.js. Estos son problemas distintos, no componentes confirmados de las vulnerabilidades de Fortinet.

PHP lanzó parches de emergencia el 21 de octubre para CVE-2026-109618 y CVE-2026-109619, conocidos como PHP2Shell. Ambos pueden permitir la ejecución remota de código sin autenticación. Uno implica el agotamiento de la memoria dejando datos de solicitud incompletos, mientras que el otro implica un estado de solicitud obsoleto que sobrevive después de que se libera la memoria.

La cobertura de PHP2Shell explica los riesgos en diferentes configuraciones de servidor. Las versiones corregidas de PHP son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La Fundación PHP también describió cómo la investigación asistida por IA contribuyó a investigar estas debilidades.

Por separado, la actualización de seguridad de Node.js aborda diez vulnerabilidades, incluyendo cuatro calificadas como de alta gravedad. La CVE-2026-111497 afecta la descompresión Brotli y puede permitir la ejecución de código a través de una escritura de memoria fuera de límites. Otras correcciones de alta gravedad abordan el bypass de verificación de nombre de host TLS y el truncamiento de nombres DNS. Las ramas compatibles afectadas son 26.x, 24.x y 22.x.

Fortinet te recomienda identificar los sistemas expuestos, hacer copias de seguridad de las configuraciones y programar ventanas de mantenimiento urgentes para el 22 y 23 de octubre. Tu equipo debe revisar los registros en busca de accesos inusuales de administradores y cambios de configuración no autorizados antes y después del parcheo.

Cuando no puedas realizar las actualizaciones de inmediato, debes restringir la gestión HTTPS y SSH a direcciones confiables, eliminar la administración de FortiManager de la internet pública y aplicar la autenticación multifactor con contraseñas únicas. Estos controles reducen la exposición, pero no sustituyen la instalación de las actualizaciones de seguridad.