Resumen de PSIRT y actualizaciones de FortiOS 8.0.0 – 29/09/2026

FortiOS y firmware

Los Notas de lanzamiento de FortiOS 8.0.0 (build 0167) introducen mejoras en la gestión de la memoria, nuevas políticas de seguridad y soporte ampliado para modelos FG‑6000 y FG‑7000. La lista de modelos compatibles incluye desde FG‑30G hasta FG‑7000F, así como dispositivos de la serie FWF y FGR. Se destaca la incompatibilidad de los modelos 6000 y 7000 con la funcionalidad de proxy en la versión 8.0.0.

Para la versión 7.6.7, las Notas de lanzamiento resaltan mejoras de rendimiento en la capa de IPS y la corrección de varios errores críticos. Los modelos compatibles son los mismos que en 7.6.6, con la adición de soporte para nuevos dispositivos de la serie 7000.

Seguridad y PSIRT

El Fortinet PSIRT ha publicado 8 nuevas vulnerabilidades (CVE‑2026‑84387, CVE‑2026‑84392, CVE‑2026‑26084, CVE‑2026‑84391, CVE‑2026‑22575, CVE‑2026‑84393, CVE‑2026‑49975, CVE‑2026‑70468). A continuación se detalla la tabla “Qué revisar esta semana”.

Para más detalles y pasos de mitigación, consulte la página oficial de PSIRT y las notas de lanzamiento correspondientes.

Vulnerabilidades/CVE

• CVE‑2026‑84387 – Inyección de comandos por cron job en FortiSandbox (5.2, 5.0, 4.4). PSIRT Advisories
• CVE‑2026‑84392 – Desreferencia nula en FortiOS, FortiProxy y FortiPAM (8.0, 7.6, 7.4, 7.2). PSIRT Advisories
• CVE‑2026‑26084 – Control de reglas NAT sin autenticación que expone información sensible en FortiSandbox y FortiSandbox Cloud (5.2, 5.0, 4.4, PaaS). PSIRT Advisories
• CVE‑2026‑84391 – Consumo descontrolado de recursos en el daemon SNMP de FortiAnalyzer (8.0, 7.6, 7.4, 7.2). PSIRT Advisories
• CVE‑2026‑22575 – Bypass de control de acceso en el proceso de aprobación de sesiones por correo de FortiManager (8.0, 7.6, 7.4, 7.2, Cloud). PSIRT Advisories
• CVE‑2026‑84393 – Validación de certificado incorrecta en el portal ZTNA de FortiOS y FortiProxy (8.0, 7.6, 7.4, 7.2). PSIRT Advisories
• CVE‑2026‑49975 – Asignación de memoria con tamaño excesivo en Apache HTTP Server (mod_http) que afecta a FortiPAM, FortiProxy y FortiSwitchManager. PSIRT Advisories
• CVE‑2026‑70468 – Bypass de autenticación vía ruta alternativa en FortiManager y FortiManager Cloud (7.6, 7.4, 7.2). PSIRT Advisories
• CVE‑2026‑71407 – Desbordamiento de búfer de pila en el proxy explícito de FortiOS (8.0, 7.6, 7.4, 7.2). PSIRT Advisories
• CVE‑2026‑71408 – Asignación de recursos sin límites en FortiOS (8.0, 7.6, 7.4, 7.2). PSIRT Advisories
• CVE‑2025‑43892 – Lectura fuera de rango en FortiOS, FortiProxy y FortiSASE (7.6.3‑7.0). PSIRT Advisories
• CVE‑2025‑62675 – Inyección de encabezados CRLF en la página de advertencia del filtro web de FortiOS y FortiProxy (8.0, 7.6, 7.4, 7.2). PSIRT Advisories
• CVE‑2025‑62826 – Inyección de encabezados CRLF en el formulario de autenticación del portal cautivo de FortiOS y FortiProxy (7.6, 7.4, 7.2). PSIRT Advisories
• CVE‑2026‑59839 – Traversal de ruta en comandos CLI que permite la eliminación del sistema de archivos raíz en FortiOS y FortiPAM (8.0‑7.0). PSIRT Advisories
• CVE‑2026‑23573 – XSS reflejado en la generación de páginas web de FortiOS, FortiPAM y FortiProxy (8.0, 7.6, 7.4, 7.2). PSIRT Advisories

Nuevos FortiGate y hardware

La versión FortiOS 8.0.0 introduce soporte para una amplia gama de modelos nuevos y actualizaciones de hardware, según la release notes:

• Modelos de línea FG‑30G, FG‑40F, FG‑50G, FG‑60F, FG‑70F, FG‑80F, FG‑90G, FG‑100F, FG‑1800F, FG‑2000E, FG‑2500E, FG‑2600F, FG‑3000F, FG‑3200F, FG‑3300E, FG‑3400E, FG‑3500F, FG‑3600E, FG‑3700F, FG‑3960E, FG‑3980E, FG‑4200F, FG‑4400F, FG‑4800F, FG‑6000F, FG‑7000E, FG‑7000F y sus variantes con PoE y 5G.
• Series FWF‑30G a FWF‑81F para Wi‑Fi.
• Series FGR‑50G‑5G, FGR‑60F, FGR‑70F, FGR‑70G y FFW‑1801F para dispositivos de borde.
• VMs de ARM64 y KVM en la nube (AWS, Azure, GCP, OCI, etc.) con soporte para imágenes Gen2.

Además, se destacan mejoras de rendimiento y compatibilidad:

• Desactivación de la funcionalidad de proxy en modelos con 2 GB RAM.
• Compatibilidad limitada de FortiGate 6000/7000 con ciertas características de proxy.
• Actualizaciones de Security Fabric y Security Rating para una integración más profunda.

FortiManager/FortiAnalyzer/FortiGuard relevantes

En el periodo analizado, las siguientes vulnerabilidades afectan directamente a FortiManager, FortiAnalyzer y a la plataforma FortiGuard:

• CVE‑2026‑22575 – Bypass de control de acceso en el flujo de aprobación de sesiones por correo de FortiManager (8.0, 7.6, 7.4, 7.2, Cloud). PSIRT Advisories
• CVE‑2026‑84391 – Consumo descontrolado de recursos en el daemon SNMP de FortiAnalyzer (8.0, 7.6, 7.4, 7.2). PSIRT Advisories
• CVE‑2026‑26084 – Control de reglas NAT sin autenticación que expone información sensible en FortiSandbox y FortiSandbox Cloud (5.2, 5.0, 4.4, PaaS). PSIRT Advisories
• FortiGuard – La sección de FortiGuard Labs continúa ofreciendo actualizaciones de Threat Intelligence, Security Fabric y Security Rating. Consulte la FortiGuard Labs para la información más reciente.

VPN/SD‑WAN/Security Fabric

Actualizaciones y cambios relevantes en la gestión de VPN, SD‑WAN y Security Fabric en FortiOS 8.0.0 y 7.6.7:

• Agentless VPN (SSL‑VPN web mode) – No soportado en algunos modelos de FortiGate; se recomienda revisar la compatibilidad en la release notes.
• Security Fabric upgrade – Se requiere actualización de la capa de fabric para asegurar la interoperabilidad entre dispositivos. Consulte la guía de Security Fabric upgrade en la documentación.
• SD‑WAN – Se introducen mejoras en la política de tráfico y en la gestión de rutas, con cambios en la interfaz CLI y GUI. Los usuarios deben actualizar a la última versión para aprovechar las nuevas capacidades.
• Vulnerabilidades relacionadas con VPN:
  • CVE‑2026‑26084 – Exposición de información sensible por control de reglas NAT sin autenticación en FortiSandbox.
  • CVE‑2026‑49975 – Ataque de bombardeo HTTP/2 que puede afectar la estabilidad de la VPN en dispositivos que ejecutan FortiPAM y FortiProxy.
• Security Fabric – Se han añadido nuevas métricas de rendimiento y se mejoró la detección de amenazas en tiempo real. Se recomienda habilitar Security Fabric en todos los dispositivos compatibles.

Problemas conocidos

• FG-IR-26-167 – Inyección de comandos en tareas cron de FortiSandbox (CVE‑2026‑84387). Severidad: Media. Afecta FortiSandbox 5.2, 5.0 y 4.4.
• FG-IR-26-173 – Desreferencia de puntero nulo en informes de registro de FortiOS, FortiProxy y FortiPAM (CVE‑2026‑84392). Severidad: Baja. Afecta FortiOS 8.0, 7.6, 7.4, 7.2; FortiPAM 1.9‑1.5; FortiProxy 7.6‑7.2.
• FG-IR-26-166 – Control no autorizado de reglas NAT en FortiSandbox y FortiSandbox Cloud (CVE‑2026‑26084). Severidad: Alta. Afecta FortiSandbox 5.2, 5.0, 4.4 y FortiSandbox Cloud 5.0, 4.4, PaaS 5.2, 5.0.
• FG-IR-26-172 – Consumo incontrolado de recursos en SNMP de FortiAnalyzer (CVE‑2026‑84391). Severidad: Media. Afecta FortiAnalyzer 8.0, 7.6, 7.4, 7.2.
• FG-IR-26-171 – Bypass de proceso de aprobación de sesión de trabajo en FortiManager (CVE‑2026‑22575). Severidad: Media. Afecta FortiManager 8.0, 7.6, 7.4, 7.2 y FortiManager Cloud 7.6‑7.2.
• FG-IR-26-174 – Validación de certificado incorrecta en portal ZTNA de FortiOS y FortiProxy (CVE‑2026‑84393). Severidad: Alta. Afecta FortiOS 8.0‑7.2 y FortiProxy 8.0‑7.2.
• FG-IR-26-163 – Bomb de HTTP/2 en FortiPAM, FortiProxy y FortiSwitchManager (CVE‑2026‑49975). Severidad: Media. Afecta FortiPAM 1.9.1‑1.8.2 y FortiProxy 7.6.6‑7.6.2; FortiSwitchManager 7.2.9‑7.2.5.
• FG-IR-26-160 – Debilitación de autenticación vía CLI en FortiManager (CVE‑2026‑70468). Severidad: Media. Afecta FortiManager 7.6‑7.2 y FortiManager Cloud 7.6‑7.2.
• FG-IR-26-161 – Desbordamiento de pila en WAD de FortiOS (CVE‑2026‑71407). Severidad: Alta. Afecta FortiOS 8.0‑7.2.
• FG-IR-26-162 – Denegación de servicio por asignación ilimitada de recursos en FortiOS (CVE‑2026‑71408). Severidad: Media. Afecta FortiOS 8.0‑7.2.
• FG-IR-26-154 – Lectura sobrepasada en authd y wad de FortiOS, FortiProxy y FortiSASE (CVE‑2025‑43892). Severidad: Baja. Afecta FortiOS 7.6.3‑7.4.8 y FortiProxy 7.6.5‑7.6.1.
• FG-IR-26-152 – Inyección de encabezado en página de advertencia de filtro web (CVE‑2025‑62675). Severidad: Media. Afecta FortiOS 8.0‑7.2 y FortiProxy 7.6‑7.2.
• FG-IR-26-153 – Inyección de encabezado en formulario de autenticación de portal cautivo (CVE‑2025‑62826). Severidad: Baja. Afecta FortiOS 7.6‑7.4 y FortiProxy 7.6‑7.2.
• FG-IR-26-151 – Traversal de ruta en comandos CLI que permite borrar el sistema de archivos raíz (CVE‑2026‑59839). Severidad: Media. Afecta FortiOS 8.0‑7.0 y FortiPAM 1.8‑1.4; FortiProxy 7.6‑7.0.
• FG-IR-26-150 – Reflejo XSS en SSL‑VPN (CVE‑2026‑23573). Severidad: Media. Afecta FortiOS 8.0‑7.2 y FortiPAM 1.9‑1.5; FortiProxy 7.6‑7.2.

Radar: próximas versiones y modelos

• FortiOS 8.0.0 – Versión actual (build 0167). Modelos soportados: FG‑30G, FG‑31G, FG‑40F, FG‑40F‑3G4G, FG‑50G, FG‑51G, FG‑50G‑5G, FG‑51G‑5G, FG‑50G‑SFP, FG‑50G‑DSL, FG‑50G‑SFP‑POE, FG‑51G‑SFP‑POE, FG‑60F, FG‑61F, FG‑70F, FG‑71F, FG‑70G, FG‑71G, FG‑70G‑POE, FG‑71G‑POE, FG‑80F, FG‑80F‑BP, FG‑80F‑DSL, FG‑80F‑POE, FG‑81F, FG‑81F‑POE, FG‑90G, FG‑91G, FG‑100F, FG‑101F, FG‑120G, FG‑121G, FG‑200E, FG‑200F, FG‑200G, FG‑201E, FG‑201F, FG‑201G, FG‑300E, FG‑301E, FG‑400E, FG‑400E‑BP, FG‑401E, FG‑400F, FG‑401F, FG‑500E, FG‑501E, FG‑600E, FG‑601E, FG‑600F, FG‑601F, FG‑700G, FG‑701G, FG‑800D, FG‑900D, FG‑900G, FG‑901G, FG‑1000D, FG‑1000F, FG‑1001F, FG‑1100E, FG‑1101E, FG‑1800F, FG‑1801F, FG‑2000E, FG‑2200E, FG‑2201E, FG‑2500E, FG‑2600F, FG‑2601F, FG‑3000F, FG‑3001F, FG‑3200F, FG‑3201F, FG‑3300E, FG‑3301E, FG‑3400E, FG‑3401E, FG‑3500F, FG‑3501F, FG‑3600E, FG‑3601E, FG‑3700F, FG‑3701F, FG‑3960E, FG‑3980E, FG‑4200F, FG‑4201F, FG‑4400F, FG‑4401F, FG‑4800F, FG‑4801F, FG‑6000F, FG‑7000E, FG‑7000F. Notas especiales: incompatibilidades con modelos 6000/7000, desactivación de VPN de agente en algunos modelos, limitaciones de RAM de 2 GB.
• FortiOS 7.6.7 – Versión intermedia (build 7.6.7). Modelos soportados: FG‑30G, FG‑31G, FG‑40F, FG‑40F‑3G4G, FG‑50G, FG‑51G, FG‑50G‑5G, FG‑51G‑5G, FG‑50G‑SFP, FG‑50G‑DSL, FG‑50G‑SFP‑POE, FG‑51G‑SFP‑POE, FG‑60F, FG‑61F, FG‑70F, FG‑71F, FG‑70G, FG‑71G, FG‑70G‑POE, FG‑71G‑POE, FG‑80F, FG‑80F‑BP, FG‑80F‑DSL, FG‑80F‑POE, FG‑81F, FG‑81F‑POE, FG‑90G, FG‑91G, FG‑100F, FG‑101F, FG‑120G, FG‑121G, FG‑200E, FG‑200F, FG‑200G, FG‑201E, FG‑201F, FG‑201G, FG‑300E, FG‑301E, FG‑400E, FG‑400E‑BP, FG‑401E, FG‑400F, FG‑401F, FG‑500E, FG‑501E, FG‑600E, FG‑601E, FG‑600F, FG‑601F, FG‑700G, FG‑701G, FG‑800D, FG‑900D, FG‑900G, FG‑901G, FG‑1000D, FG‑1000F, FG‑1001F, FG‑1100E, FG‑1101E, FG‑1800F, FG‑1801F, FG‑2000E, FG‑2200E, FG‑2201E, FG‑2500E, FG‑2600F, FG‑2601F, FG‑3000F, FG‑3001F, FG‑3200F, FG‑3201F, FG‑3300E, FG‑3301E, FG‑3400E, FG‑3401E, FG‑3500F, FG‑3501F, FG‑3600E, FG‑3601E, FG‑3700F, FG‑3701F, FG‑3960E, FG‑3980E, FG‑4200F, FG‑4201F, FG‑4400F, FG‑4401F, FG‑4800F, FG‑4801F, FG‑6000F, FG‑7000E, FG‑7000F.
• Actualizaciones recomendadas: FortiOS 8.0.0 incluye mejoras de seguridad, nuevas características de VPN de agente, y cambios en la política de contraseñas. FortiOS 7.6.7 incluye mejoras de rendimiento y soporte de modelos de VM en la nube.

Qué debería hacer un sysadmin esta semana

• Verificar que los dispositivos estén ejecutando la última versión de FortiOS (8.0.0) y aplicar los parches de seguridad publicados en PSIRT.
• Revisar la lista de vulnerabilidades conocidas (CVE‑2026‑84387, CVE‑2026‑26084, etc.) y confirmar que los modelos afectados (FortiSandbox 5.2, FortiProxy 7.6, etc.) estén actualizados.
• Hacer un inventario de dispositivos que utilizan VPN de agente y verificar que los modelos 6000/7000 no presenten incompatibilidades según la nota de la release 8.0.0.
• Actualizar las reglas de firewall y NAT para asegurar que no haya control no autorizado (ver FG-IR-26-166).
• Revisar la configuración de autenticación y asegurarse de que no existan rutas de acceso no autorizadas (ver FG-IR-26-151).
• Implementar políticas de contraseñas robustas y habilitar la verificación de certificados en ZTNA (ver FG-IR-26-174).
• Realizar pruebas de penetración o escaneo de vulnerabilidades para confirmar que los parches se hayan aplicado correctamente.
• Actualizar la documentación interna y los procedimientos de respuesta ante incidentes para incluir las nuevas vulnerabilidades y mitigaciones.