Resumen de novedades FortiOS 8.0.0 y 7.6.7 y PSIRT advisories 13 de Octubre 2026

FortiOS y firmware

La documentación oficial de FortiOS 8.0.0 destaca los siguientes puntos clave:

• Compatibilidad con modelos FG‑30G a FG‑7000E/F y varios dispositivos FortiWiFi y FortiGate VM.
• Desactivación de la VPN SSL Web Mode en algunos modelos FG‑6000/FG‑7000.
• Limitaciones de 2 GB RAM en modelos FG‑6000/FG‑7000 que afectan a funciones de proxy y Security Rating.
• Mejoras en el motor de AV y en la gestión de políticas de seguridad.
• Actualizaciones de firmware disponibles a través de FortiGuard Labs.

Tabla de versiones recientes de FortiOS (datos disponibles):

Seguridad y PSIRT

El Portal PSIRT reporta 15 vulnerabilidades identificadas en la semana. A continuación se muestra la tabla “Qué revisar esta semana” con los detalles esenciales.

Recomendaciones de mitigación:

• Actualizar a FortiOS 8.0.0 o la última versión disponible.
• Aplicar los parches PSIRT antes de la fecha límite de cada CVE.
• Revisar la configuración de control de acceso a NAT y validación de certificados ZTNA.
• Habilitar limitación de recursos SNMP y políticas de auditoría de CLI.
• Monitorear logs de inyección de comandos y inyección de CRLF con el motor de AV actualizado.

Vulnerabilidades/CVE

• CVE‑2026‑84387 – Inyección de comandos (Command Injection) en FortiSandbox (5.2, 5.0, 4.4). Severity: Medium. PSIRT Advisories
• CVE‑2026‑84392 – Desreferencia de puntero nulo (NULL Pointer Dereference) en FortiOS, FortiProxy y FortiPAM (8.0, 7.6, 7.4, 7.2). Severity: Low. PSIRT Advisories
• CVE‑2026‑26084 – Control de acceso insuficiente que expone información sensible en FortiSandbox (5.2, 5.0, 4.4) y FortiSandbox Cloud (5.0, 4.4, PaaS). Severity: High. PSIRT Advisories
• CVE‑2026‑84391 – Consumo incontrolado de recursos en SNMP de FortiAnalyzer (8.0, 7.6, 7.4, 7.2). Severity: Medium. PSIRT Advisories
• CVE‑2026‑22575 – Bypass de control de acceso en el proceso de aprobación de correos de FortiManager (8.0, 7.6, 7.4, 7.2 y Cloud). Severity: Medium. PSIRT Advisories
• CVE‑2026‑84393 – Validación de certificado incorrecta en FortiOS y FortiProxy (8.0, 7.6, 7.4, 7.2). Severity: High. PSIRT Advisories
• CVE‑2026‑49975 – Asignación de memoria con tamaño excesivo en Apache HTTP Server mod_http, afectando a FortiPAM, FortiProxy y FortiSwitchManager. Severity: Medium. PSIRT Advisories

Nuevos FortiGate y hardware

• FortiOS 8.0.0 – Lanzamiento con soporte ampliado a los modelos FG‑30G, FG‑31G, FG‑40F, FG‑50G, FG‑60F, FG‑70F, FG‑80F, FG‑90G, FG‑100F, FG‑120G, FG‑200E, FG‑300E, FG‑400E, FG‑500E, FG‑600E, FG‑700G, FG‑800D, FG‑900D, FG‑1000D, FG‑1100E, FG‑1800F, FG‑2000E, FG‑2200E, FG‑2500E, FG‑2600F, FG‑3000F, FG‑3200F, FG‑3300E, FG‑3400E, FG‑3500F, FG‑3600E, FG‑3700F, FG‑3960E, FG‑4200F, FG‑4400F, FG‑4800F, FG‑6000F, FG‑7000E y FG‑7000F, entre otros. Release Notes
• FortiOS 7.6.7 – Versión intermedia con mejoras de rendimiento y compatibilidad con nuevas imágenes Gen2 en Azure. Release Notes
• Sección “Special notices” de FortiOS 8.0.0 indica incompatibilidades de 2 GB RAM en modelos FG‑6000 y FG‑7000 que ya no soportan la mayoría de funciones de proxy y Security Rating.
• Se añade soporte para FortiWiFi FWF‑30G, FWF‑31G, FWF‑40F, FWF‑50G, FWF‑60F, FWF‑70G, FWF‑80F‑2R, FWF‑81F‑2R y variantes con 3G/4G y POE.

FortiManager/FortiAnalyzer/FortiGuard relevantes

• FortiManager – CVE‑2026‑22575 (bypass de control de acceso en aprobación de correos) afecta a las versiones 8.0, 7.6, 7.4 y 7.2, tanto on‑premise como Cloud. PSIRT Advisories
• FortiAnalyzer – CVE‑2026‑84391 (consumo incontrolado de recursos SNMP) afecta a las versiones 8.0, 7.6, 7.4 y 7.2. PSIRT Advisories
• FortiGuard Labs – Se publica la lista completa de advisories en la página oficial: FortiGuard PSIRT Advisories. No se detectaron nuevas vulnerabilidades en FortiGuard Labs durante el período 05/10/2026‑13/10/2026.

VPN/SD‑WAN/Security Fabric

• Agentless VPN (SSL‑VPN web mode) – En FortiOS 8.0.0 ya no es compatible con ciertos modelos de FortiGate (FG‑6000 y FG‑7000) y con dispositivos que tienen 2 GB RAM. Release Notes
• 2 GB RAM FortiGate models – Se desactivan la mayoría de funciones relacionadas con el proxy y la valoración de seguridad (Security Rating). Release Notes
• Security Fabric – Se requiere una política de verificación de topología para tráfico hairpin. Release Notes
• SD‑WAN – Se introducen cambios en la configuración de tabla y valores por defecto que pueden afectar la convergencia de rutas. Release Notes
• No se reportaron incidentes nuevos de VPN o SD‑WAN durante el período 05/10/2026‑13/10/2026.

Problemas conocidos

• CVE‑2026‑84387 – Inyección de comandos en tareas cron de respaldo remoto (FortiSandbox 5.2/5.0/4.4). Severidad: Media
• CVE‑2026‑84392 – Desreferencia nula en el informe de registro (FortiOS 8.0/7.6/7.4/7.2, FortiProxy, FortiPAM). Severidad: Baja
• CVE‑2026‑26084 – Control de acceso insuficiente a reglas NAT, exposición de información sensible (FortiSandbox 5.2/5.0/4.4, Cloud, PaaS). Severidad: Alta
• CVE‑2026‑84391 – Consumo incontrolado de recursos en SNMP (FortiAnalyzer 8.0/7.6/7.4/7.2). Severidad: Media
• CVE‑2026‑22575 – Bypass de aprobación de correo electrónico de sesión de flujo de trabajo (FortiManager 8.0/7.6/7.4/7.2, Cloud). Severidad: Media
• CVE‑2026‑84393 – Validación de certificado incorrecta en portal ZTNA (FortiOS 8.0/7.6/7.4/7.2, FortiProxy 8.0/7.6/7.4/7.2). Severidad: Alta
• CVE‑2026‑49975 – Bomb de HTTP/2 (FortiPAM 1.9.1‑1.8.2, FortiProxy 7.6.6‑7.6.2, FortiSwitchManager 7.2.9‑7.2.5). Severidad: Media
• CVE‑2026‑70468 – Debilitación de autenticación vía configuración CLI (FortiManager 7.6/7.4/7.2, Cloud). Severidad: Alta
• CVE‑2026‑71407 – Desbordamiento de búfer en WAD (FortiOS 8.0/7.6/7.4/7.2). Severidad: Media
• CVE‑2026‑71408 – Ataque DoS por falta de límites de recursos (FortiOS 8.0/7.6/7.4/7.2). Severidad: Media
• CVE‑2025‑43892 – Lectura fuera de rango en authd y wad (FortiOS 7.6.3‑7.0, FortiProxy 7.6.5‑7.0). Severidad: Baja
• CVE‑2025‑62675 – Inyección de CRLF en página de advertencia de filtro web (FortiOS 8.0/7.6/7.4/7.2, FortiProxy 7.6/7.4/7.2). Severidad: Baja
• CVE‑2025‑62826 – Inyección de CRLF en formulario de autenticación de portal cautivo (FortiOS 7.6/7.4/7.2, FortiProxy 7.6/7.4/7.2). Severidad: Baja
• CVE‑2026‑59839 – Traversal de ruta en comando CLI que permite eliminar archivos raíz (FortiOS 8.0/7.6/7.4/7.2/7.0, FortiPAM 1.8‑1.4, FortiProxy 7.6/7.4/7.2/7.0). Severidad: Media
• CVE‑2026‑23573 – XSS reflejado en SSL‑VPN (FortiOS 8.0/7.6/7.4/7.2, FortiPAM 1.9‑1.5, FortiProxy 7.6/7.4/7.2). Severidad: Media

Radar: próximas versiones y modelos

• FortiOS 8.0.1 – Versión de parche disponible a partir de 13 oct 2026. Se recomienda planificar la actualización para corregir las vulnerabilidades listadas.
• FortiOS 7.6.8 – Próxima actualización de la rama 7.6, con mejoras de rendimiento y corrección de bugs menores.
• Modelos nuevos en 8.0.0 – Se añaden soporte para FG‑30G, FG‑31G, FG‑40F, FG‑40F‑3G4G, FG‑50G, FG‑51G, FG‑50G‑5G, FG‑51G‑5G, FG‑50G‑SFP, FG‑50G‑DSL, FG‑50G‑SFP‑POE, FG‑51G‑SFP‑POE, FG‑60F, FG‑61F, FG‑70F, FG‑71F, FG‑70G, FG‑71G, FG‑70G‑POE, FG‑71G‑POE, FG‑80F, FG‑80F‑BP, FG‑80F‑DSL, FG‑80F‑POE, FG‑81F, FG‑81F‑POE, FG‑90G, FG‑91G, FG‑100F, FG‑101F, FG‑120G, FG‑121G, FG‑200E, FG‑200F, FG‑200G, FG‑201E, FG‑201F, FG‑201G, FG‑300E, FG‑301E, FG‑400E, FG‑400E‑BP, FG‑401E, FG‑400F, FG‑401F, FG‑500E, FG‑501E, FG‑600E, FG‑601E, FG‑600F, FG‑601F, FG‑700G, FG‑701G, FG‑800D, FG‑900D, FG‑900G, FG‑901G, FG‑1000D, FG‑1000F, FG‑1001F, FG‑1100E, FG‑1101E, FG‑1800F, FG‑1801F, FG‑2000E, FG‑2200E, FG‑2201E, FG‑2500E, FG‑2600F, FG‑2601F, FG‑3000F, FG‑3001F, FG‑3200F, FG‑3201F, FG‑3300E, FG‑3301E, FG‑3400E, FG‑3401E, FG‑3500F, FG‑3501F, FG‑3600E, FG‑3601E, FG‑3700F, FG‑3701F, FG‑3960E, FG‑3980E, FG‑4200F, FG‑4201F, FG‑4400F, FG‑4401F, FG‑4800F, FG‑4801F, FG‑6000F, FG‑7000E, FG‑7000F. Nota: modelos 6000 y 7000 presentan limitaciones de proxy y Security Rating.
• Limitaciones de 2 GB RAM – Los modelos con 2 GB de RAM ya no soportan la mayoría de las funciones de proxy ni la valoración de seguridad.
• Agentless VPN – No soportado en algunos modelos de FortiGate; verificar compatibilidad antes de despliegue.

Qué debería hacer un sysadmin esta semana

1. Revisar y aplicar el firmware FortiOS 8.0.1 (o la última versión disponible) en todos los dispositivos FortiGate y FortiManager. Release notes 8.0.0
2. Actualizar FortiAnalyzer a la última versión (8.0.0/7.6.x) para mitigar CVE‑2026‑84391 y CVE‑2026‑49975.
3. Revisar la configuración de NAT y reglas de firewall para asegurar que el control de acceso esté habilitado y evitar CVE‑2026‑26084.
4. Deshabilitar o restringir el acceso a SNMP en dispositivos que no lo necesiten; aplicar ACLs y autenticación fuerte para evitar CVE‑2026‑84391.
5. Verificar la validación de certificados en los portales ZTNA y SSL‑VPN; actualizar certificados y aplicar parches para CVE‑2026‑84393 y CVE‑2026‑23573.
6. Revisar los logs de eventos y alertas de FortiManager para detectar posibles intentos de bypass de aprobación de flujo de trabajo (CVE‑2026‑22575).
7. Ejecutar pruebas de penetración y escaneo de vulnerabilidades en los entornos de producción para confirmar la ausencia de CVE‑2026‑71407, CVE‑2026‑71408 y CVE‑2026‑59839.
8. Actualizar la configuración de CLI y políticas de autenticación para eliminar la debilidad CVE‑2026‑70468.
9. Planificar la migración de modelos 6000/7000 a versiones de firmware que soporten proxy y Security Rating, o reconfigurar el entorno para cumplir con las limitaciones.
10. Documentar las acciones realizadas y mantener un registro de cambios para auditorías y cumplimiento.