Resumen de vulnerabilidades FortiOS 8.0.0 y 7.6.7 (12‑20 Oct 2026)

FortiOS y firmware

Las notas de lanzamiento de FortiOS 8.0.0 y FortiOS 7.6.7 incluyen:

• Modelos soportados (lista abreviada):
  • FortiGate FG‑30G, FG‑31G, FG‑40F, FG‑50G, FG‑60F, FG‑70F, FG‑80F, FG‑90G, FG‑100F, FG‑200E
  • FortiWiFi FWF‑30G, FWF‑40F, FWF‑50G, FWF‑60F, FWF‑70G, FWF‑80F, FWF‑90F, FWF‑100F
  • FortiGate VM FG‑ARM64‑AWS, FG‑ARM64‑AZURE, FG‑VM64, FG‑VM64‑KVM, FG‑VM64‑GCP
• Notas especiales:
  • Agentless VPN (SSL‑VPN web mode) no soportado en algunos modelos.
  • Modelos con 2 GB RAM no soportan la mayoría de las funciones de proxy.
  • Requisitos de memoria para la función Security Rating y Security Fabric.
• Cambios y mejoras:
  • Actualizaciones de la interfaz de usuario y la API.
  • Mejoras en la gestión de certificados y ZTNA.
  • Optimización de rendimiento en dispositivos de alta capacidad.
• Problemas resueltos:
  • Corrección de errores de configuración de firewall y políticas.
  • Resolución de fallos en la integración con FortiAnalyzer y FortiManager.

Seguridad y PSIRT

El Fortinet PSIRT publicó 15 vulnerabilidades críticas y de alta severidad en el periodo. La tabla a continuación resume las más relevantes:

Para cada vulnerabilidad, se recomienda:

• Actualizar a la última imagen de firmware disponible.
• Revisar y reforzar la configuración de ZTNA, API y administración remota.
• Aplicar los parches de seguridad proporcionados por Fortinet.
• Monitorear logs en busca de intentos de explotación.

Vulnerabilidades/CVE

• CVE-2026-106175 – Double free en el manejador de señales (CWE‑415). Afecta FortiOS 8.0.0, 7.6, 7.4, 7.2; FortiProxy 7.6, 7.4, 7.2; FortiSwitch 8.0, 7.6, 7.4, 7.2. PSIRT Advisory
• CVE-2026-106172 – Uso de clave criptográfica codificada (CWE‑321). Afecta FortiSandbox 5.2.1, 5.2.0, 5.0.6‑5.0.4 y FortiSandbox Cloud 5.0.6‑5.0.1. PSIRT Advisory
• CVE-2026-106174 – Improper locking (CWE‑667). Afecta FortiOS 8.0.0, 7.6.6‑7.6.4. PSIRT Advisory
• CVE-2026-107656 – Authentication bypass vía ruta alternativa (CWE‑288). Afecta FortiSandbox 5.2, 5.0, 4.4 y FortiSandbox PaaS 5.2, 5.0, 4.4. PSIRT Advisory
• CVE-2025-46773 – Inyección SQL (CWE‑89). Afecta FortiAnalyzer 8.0, 7.6, 7.4, 7.2 y FortiAnalyzer Cloud 7.6‑7.2. PSIRT Advisory
• CVE-2026-106170 – Excepción no capturada (CWE‑248). Afecta FortiSandbox 5.2, 5.0, 4.4. PSIRT Advisory
• CVE-2026-106171 – Inyección de comandos OS (CWE‑78). Afecta FortiManager 8.0, 7.6, 7.4, 7.2 y FortiManager Cloud 8.0, 7.6, 7.4, 7.2. PSIRT Advisory
• CVE-2026-84387 – Inyección de comandos (CWE‑78). Afecta FortiSandbox 5.2, 5.0, 4.4. PSIRT Advisory
• CVE-2026-84392 – Desreferencia de puntero nulo (CWE‑476). Afecta FortiOS 8.0, 7.6, 7.4, 7.2; FortiProxy 7.6, 7.4, 7.2; FortiPAM 1.9‑1.5. PSIRT Advisory
• CVE-2026-26084 – Control de acceso a reglas NAT (CWE‑284). Afecta FortiSandbox 5.2, 5.0, 4.4 y FortiSandbox Cloud 5.0‑5.0.1. PSIRT Advisory
• CVE-2026-84391 – Variable no inicializada (CWE‑457). Afecta FortiAnalyzer SNMP daemon 8.0, 7.6, 7.4, 7.2. PSIRT Advisory
• CVE-2026-22575 – Control de acceso a sesión de aprobación de correo (CWE‑284). Afecta FortiManager 8.0, 7.6, 7.4, 7.2 y FortiManager Cloud 8.0, 7.6, 7.4, 7.2. PSIRT Advisory
• CVE-2026-84393 – Validación de certificado incorrecta (CWE‑295). Afecta FortiOS 8.0.0, 7.6, 7.4, 7.2 y FortiProxy 8.0, 7.6, 7.4, 7.2. PSIRT Advisory
• CVE-2026-49975 – Asignación de memoria con tamaño excesivo (CWE‑122). Afecta FortiManager 8.0.0‑7.6.4, FortiPAM 1.9.1‑1.8.2, FortiProxy 7.6.6‑7.6.2, FortiSwitchManager 7.2.9‑7.2.5. PSIRT Advisory
• CVE-2026-70468 – Bypass de autenticación vía ruta alternativa (CWE‑288). Afecta FortiManager 7.6, 7.4, 7.2 y FortiManager Cloud 7.6, 7.4, 7.2. PSIRT Advisory

Nuevos FortiGate y hardware

El release notes de FortiOS 8.0.0 confirma la incorporación de los modelos de gama alta FG‑6000F, FG‑7000E y FG‑7000F a la familia de FortiGate, ampliando la capacidad de procesamiento y la disponibilidad de funciones avanzadas de seguridad. Además, el soporte para los modelos FG‑7000E y FG‑7000F se extiende a las versiones de firmware 8.0.0 y posteriores, ofreciendo mejoras en rendimiento y compatibilidad con la arquitectura de seguridad fabric.

En la versión 7.6.7, se mantiene la compatibilidad con los modelos FG‑6000F y FG‑7000E/F, pero no se introducen nuevos dispositivos. La documentación indica que los modelos FG‑6000 y FG‑7000 ya estaban soportados desde versiones anteriores, pero se actualizan las guías de instalación y configuración para la nueva arquitectura de firmware.

FortiManager/FortiAnalyzer/FortiGuard relevantes

• FortiManager – La actualización a FortiOS 8.0.0 incluye soporte para FortiManager 8.0.0 y FortiManager Cloud 8.0.0, con mejoras en la gestión de políticas y la integración con la plataforma Security Fabric. Release notes 8.0.0
• FortiAnalyzer – FortiAnalyzer 8.0.0 y FortiAnalyzer Cloud 7.6‑7.2 reciben actualizaciones de compatibilidad con FortiOS 8.0.0, permitiendo la recolección de logs y la generación de informes más detallados. Release notes 8.0.0
• FortiGuard – El portal de FortiGuard Labs continúa proporcionando actualizaciones de firmas y reglas de detección para los nuevos modelos FortiGate, garantizando la protección contra amenazas emergentes. PSIRT Advisory

VPN/SD‑WAN/Security Fabric

• Agentless VPN (SSL‑VPN web mode) – No es compatible con algunos modelos de FortiGate (por ejemplo, FG‑6000 y FG‑7000) según la documentación de la versión 8.0.0. Release notes 8.0.0
• 2 GB RAM models – Los modelos con 2 GB de RAM ya no soportan la mayoría de las funciones relacionadas con el proxy, lo que afecta la capacidad de inspección de tráfico. Release notes 8.0.0
• Security Rating y Topology Policy – Se requiere una verificación de política de topología para el tráfico hairpin, lo que mejora la visibilidad y el control de la red. Release notes 8.0.0
• SD‑WAN – Se introducen cambios en la configuración y el comportamiento por defecto de las políticas de SD‑WAN, optimizando la selección de rutas y la resiliencia de la conexión. Release notes 8.0.0
• Security Fabric – Se añaden mejoras en la integración con el fabric, permitiendo la propagación de políticas y la detección de amenazas en tiempo real entre dispositivos. Release notes 8.0.0

Problemas conocidos

• CVE-2026-106175 – Double free en el manejador de señales (CWE‑415). Severity: Low. Afecta FortiOS 8.0.0, 7.6.x, 7.4.x, 7.2.x; FortiProxy 7.6.x‑7.2.x; FortiSwitch 8.0.0, 7.6.x‑7.2.x.
• CVE-2026-106172 – Uso de clave criptográfica codificada (CWE‑321). Severity: Medium. Afecta FortiSandbox 5.2.1‑5.0.4 y FortiSandbox Cloud 5.0.6‑5.0.1.
• CVE-2026-106174 – Improper locking (CWE‑667). Severity: Medium. Afecta FortiOS 8.0.0 y 7.6.x.
• CVE-2026-107656 – Bypass de autenticación vía ruta alternativa (CWE‑288). Severity: Critical. Afecta FortiSandbox 5.2, 5.0, 4.4 y sus variantes PaaS.
• CVE-2025-46773 – Inyección SQL. Severity: High. Afecta FortiAnalyzer 8.0, 7.6.x, 7.4.x, 7.2.x y FortiManager 8.0, 7.6.x‑7.2.x.
• CVE-2026-106170 – Excepción no capturada (CWE‑248). Severity: Medium. Afecta FortiSandbox 5.2, 5.0, 4.4.
• CVE-2026-106171 – Inyección de comandos OS (CWE‑78). Severity: Medium. Afecta FortiManager 8.0, 7.6.x, 7.4.x, 7.2.x y sus versiones Cloud.
• CVE-2026-84387 – Inyección de comandos en tareas cron. Severity: Medium. Afecta FortiSandbox 5.2, 5.0, 4.4.
• CVE-2026-84392 – Desreferencia de puntero nulo (CWE‑476). Severity: Low. Afecta FortiOS 8.0.0, 7.6.x, 7.4.x, 7.2.x; FortiPAM 1.9‑1.5; FortiProxy 7.6.x‑7.2.x.
• CVE-2026-26084 – Control de acceso a reglas NAT (CWE‑284). Severity: High. Afecta FortiSandbox 5.2, 5.0, 4.4 y sus variantes Cloud/PaaS.
• CVE-2026-84391 – Consumo no controlado de recursos en SNMP (CWE‑457). Severity: Medium. Afecta FortiAnalyzer 8.0, 7.6.x‑7.2.x.
• CVE-2026-22575 – Bypass de aprobación de correo de sesión de flujo de trabajo (CWE‑284). Severity: Medium. Afecta FortiManager 8.0, 7.6.x‑7.2.x y sus versiones Cloud.
• CVE-2026-84393 – Validación de certificado incorrecta (CWE‑295). Severity: High. Afecta FortiOS 8.0.0, 7.6.x, 7.4.x, 7.2.x y FortiProxy 8.0, 7.6.x‑7.2.x.
• CVE-2026-49975 – Asignación de memoria con tamaño excesivo en mod_http2. Severity: Medium. Afecta FortiManager 8.0.0, 7.6.7‑7.6.4; FortiPAM 1.9.1‑1.8.2; FortiProxy 7.6.6‑7.6.2; FortiSwitchManager 7.2.9‑7.2.5.
• CVE-2026-70468 – Debilitación de autenticación vía CLI (CWE‑288). Severity: High. Afecta FortiManager 7.6.x‑7.2.x y sus versiones Cloud.

Radar: próximas versiones y modelos

• FortiOS 8.0.0 – Versión actual (build 0167). Soporta modelos FG‑30G a FG‑7000E/F, FG‑800D, FG‑900D/G, FG‑1000D/F, FG‑1100E, FG‑1800F, FG‑2000E, FG‑2200E, FG‑2500E, FG‑2600F, FG‑2601F, FG‑3000F, FG‑3001F, FG‑3200F, FG‑3201F, FG‑3300E, FG‑3301E, FG‑3400E, FG‑3401E, FG‑3500F, FG‑3501F, FG‑3600E, FG‑3601E, FG‑3700F, FG‑3701F, FG‑3960E, FG‑3980E, FG‑4200F, FG‑4201F, FG‑4400F, FG‑4401F, FG‑4800F, FG‑4801F, FG‑6000F, FG‑7000E/F. Nota especial: modelos 6000/7000 no soportan funciones de proxy ni Security Rating.
• Compatibilidad de Azure Marketplace – Desde 7.6.1, solo imágenes Gen2. Los VMs en F‑series/Fs‑series deben migrarse a familias de instancias Gen2.
• Limitaciones de RAM – Modelos con 2 GB no soportan la mayoría de las funciones de proxy ni Security Rating.
• Próxima FortiOS 8.0.1 – Se espera una actualización de seguridad que incluya correcciones de los CVE listados y mejoras de rendimiento.
• Próximas FortiOS 7.6.8 – Se prevé una actualización de compatibilidad con nuevos modelos de hardware y corrección de bugs menores.

Qué debería hacer un sysadmin esta semana

1. Actualizar firmware a la última versión disponible (8.0.0 o 7.6.7 según su entorno) y aplicar los parches de seguridad publicados (CVE‑2026‑106175, CVE‑2026‑107656, etc.).
2. Revisar la compatibilidad de la infraestructura:
   • Verificar que los VMs en Azure utilicen imágenes Gen2.
   • Confirmar que los dispositivos con 2 GB de RAM no dependan de funciones de proxy o Security Rating.
   • Comprobar que los modelos 6000/7000 no requieran funciones no soportadas.
3. Auditar la configuración de acceso:
   • Habilitar la validación de certificados en ZTNA y SSL‑VPN.
   • Revisar y reforzar los controles de acceso a la interfaz web (evitar CVE‑2026‑107656).
   • Aplicar políticas de autenticación fuerte y evitar claves codificadas (CVE‑2026‑106172).
4. Monitorear logs y eventos:
   • Habilitar logs detallados de FortiAnalyzer y FortiManager para detectar intentos de inyección SQL o de comandos.
   • Configurar alertas para eventos de consumo de recursos (CVE‑2026‑49975).
5. Planificar la migración de dispositivos:
   • Para dispositivos que requieran funciones de proxy, considerar actualizar a modelos compatibles.
   • Para dispositivos con 2 GB de RAM, planificar la sustitución o la reducción de funciones.
6. Documentar y comunicar los cambios a los equipos de seguridad y operaciones, asegurando que los planes de contingencia estén actualizados.