Fortinet ha advertido sobre un fallo crítico en FortiClient que permite a un atacante remoto ejecutar código en el ordenador de un usuario. El atacante solo necesita que visites un sitio web malicioso.

El error está registrado como CVE-2026-121529 y tiene una puntuación CVSS de 9.1. Fortinet publicó el aviso el 10 de noviembre de 2026.

El fallo es un error de validación de origen, listado como CWE-346. El investigador Kevin Joensen de Baldur Security lo encontró durante una investigación interna y lo llamó en broma “Fortinet2Shell”. Explicó que la causa raíz es una configuración incorrecta de CORS.

CORS es una regla del navegador que decide qué sitios web pueden comunicarse con otros servicios. En este caso, la configuración es demasiado permisiva. Una página web controlada por un atacante puede enviar solicitudes a un servicio local que se ejecute en la máquina de la víctima. El servicio entonces ejecuta el código que el atacante suministra.

Fortinet clasifica el problema bajo el componente API y lo califica como no autenticado, por lo que el atacante no necesita iniciar sesión. El vector CVSS muestra que la víctima debe dar un paso, como abrir una página trampa. Es por eso que la puntuación es 9.1 y no más alta.

Vulnerabilidad Crítica Fortinet2Shell

Joensen confirmó la ejecución fiable de código, y el fallo afecta a FortiClient Mac, Windows y Windows PAM, mientras que la rama 8.0 y FortiClient Mac 7.2 no se ven afectados.

Las versiones afectadas son:

• FortiClient Mac 7.4.0 hasta 7.4.7
• FortiClient Windows 7.4.0 hasta 7.4.7
• FortiClient Windows 7.2.0 hasta 7.2.14
• FortiClient Windows PAM 7.4.0 hasta 7.4.7
• FortiClient Windows PAM 7.2.0 hasta 7.2.14

La solución es actualizar a la versión 7.4.8 o posterior en la rama 7.4. En la rama 7.2, actualiza a la 7.2.15 o posterior. Fortinet dice que no existe un parche virtual, por lo que actualizar el software es la única solución real.

Joensen dice que comprobar la versión es el primer paso. En Windows, dos señales más pueden indicar una configuración vulnerable. Una es un servicio que escucha en el puerto TCP 9191.

La otra es un proceso FortiVRS.exe en ejecución. Los administradores pueden buscar ambos en toda su flota. Estas señales solo sugieren exposición; no demuestran que alguien haya atacado la máquina.

Fortinet marca el fallo como no conocido por haber sido explotado. Aun así, los detalles técnicos ya son públicos y la ruta de ataque es sencilla. Los fallos basados en web como este son fáciles de copiar una vez que la gente entiende el punto débil. Tus equipos no deberían esperar.

FortiClient se utiliza ampliamente para el acceso VPN y la protección de endpoints, por lo que muchos portátiles de empleados lo ejecutan. FortiPAM es la herramienta de Fortinet para gestionar cuentas privilegiadas. Un error que permita a un sitio web llegar al código que se ejecuta en una máquina con ese acceso podría darle a un atacante un primer punto de apoyo muy fuerte.

Los productos de Fortinet han sido un objetivo frecuente este año. Cyber Security News ha cubierto el fallo crítico de FortiClient EMS que fue explotado activamente y un exploit público para un error de FortiSIEM. Esos casos muestran lo rápido que se mueven los atacantes una vez que se lanza una corrección.

Actualiza todas las instalaciones de FortiClient a versiones parcheadas, prioriza los sistemas que operen en el puerto 9191 o que contengan FortiVRS.exe, advierte a tus usuarios contra enlaces desconocidos y revisa las reglas de filtrado web durante el despliegue del parche, tal como se detalla en el aviso de Fortinet, la calculadora CVSS de NVD y la publicación de Joensen en LinkedIn.