Resumen de PSIRT y notas de versión de FortiOS (28/09/2026 – 06/10/2026)

FortiOS y firmware

Las notas de lanzamiento de FortiOS 8.0.0 y 7.6.7 proporcionan información esencial para la planificación de actualizaciones:

• FortiOS 8.0.0 – Notas de lanzamiento. Soporta modelos FG‑30G a FG‑7000E/F, incluye mejoras de rendimiento en la capa de proxy y ajustes en la gestión de certificados ZTNA.
• FortiOS 7.6.7 – Notas de lanzamiento. Añade compatibilidad con nuevas instancias de Azure Gen2 y actualiza la gestión de certificados ZTNA.

Seguridad y PSIRT

El PSIRT ha publicado 15 nuevas vulnerabilidades que requieren atención inmediata. A continuación se muestra una tabla con los detalles más relevantes:

Para más detalles, consulte la página oficial de PSIRT y las notas de lanzamiento de FortiOS 8.0.0 y de FortiOS 7.6.7.

Vulnerabilidades/CVE

• CVE‑2026‑84387 – Inyección de comandos en tareas cron de FortiSandbox (mediana). PSIRT Advisory
• CVE‑2026‑84392 – Desreferencia de puntero nulo en FortiOS, FortiProxy y FortiPAM (baja). PSIRT Advisory
• CVE‑2026‑26084 – Control de acceso insuficiente a reglas NAT en FortiSandbox y variantes (alta). PSIRT Advisory
• CVE‑2026‑84391 – Consumo incontrolado de recursos en el daemon SNMP de FortiAnalyzer (media). PSIRT Advisory
• CVE‑2026‑22575 – Bypass de aprobación de sesiones de correo en FortiManager (media). PSIRT Advisory
• CVE‑2026‑84393 – Validación de certificado incorrecta en el portal ZTNA de FortiOS y FortiProxy (alta). PSIRT Advisory
• CVE‑2026‑49975 – Asignación de memoria con tamaño excesivo en el módulo mod_http de Apache (media). PSIRT Advisory
• CVE‑2026‑70468 – Bypass de autenticación vía ruta alternativa en FortiManager (alta). PSIRT Advisory
• CVE‑2026‑71407 – Desbordamiento de búfer en el proxy explícito de FortiOS (alta). PSIRT Advisory
• CVE‑2026‑71408 – Denegación de servicio por falta de límites de recursos en FortiOS (media). PSIRT Advisory
• CVE‑2025‑43892 – Lectura fuera de rango en authd y wad de FortiOS (media). PSIRT Advisory
• CVE‑2025‑62675 – Inyección de CRLF en la página de advertencia del filtro web de FortiOS (baja). PSIRT Advisory
• CVE‑2025‑62826 – Inyección de CRLF en el formulario de autenticación del portal cautivo de FortiOS (baja). PSIRT Advisory
• CVE‑2026‑59839 – Traversal de ruta en comandos CLI de FortiOS y FortiPAM (media). PSIRT Advisory
• CVE‑2026‑23573 – XSS reflejado en la generación de páginas web de FortiOS y FortiPAM (media). PSIRT Advisory

Nuevos FortiGate y hardware

La release note de FortiOS 8.0.0 (build 0167) introduce los siguientes modelos nuevos o actualizados:

• FortiGate FG‑30G, FG‑31G, FG‑40F, FG‑40F‑3G4G, FG‑50G, FG‑51G, FG‑50G‑5G, FG‑51G‑5G, FG‑50G‑SFP, FG‑50G‑DSL, FG‑50G‑SFP‑POE, FG‑51G‑SFP‑POE, FG‑60F, FG‑61F, FG‑70F, FG‑71F, FG‑70G, FG‑71G, FG‑70G‑POE, FG‑71G‑POE, FG‑80F, FG‑80F‑BP, FG‑80F‑DSL, FG‑80F‑POE, FG‑81F, FG‑81F‑POE, FG‑90G, FG‑91G, FG‑100F, FG‑101F, FG‑120G, FG‑121G, FG‑200E, FG‑200F, FG‑200G, FG‑201E, FG‑201F, FG‑201G, FG‑300E, FG‑301E, FG‑400E, FG‑400E‑BP, FG‑401E, FG‑400F, FG‑401F, FG‑500E, FG‑501E, FG‑600E, FG‑601E, FG‑600F, FG‑601F, FG‑700G, FG‑701G, FG‑800D, FG‑900D, FG‑900G, FG‑901G, FG‑1000D, FG‑1000F, FG‑1001F, FG‑1100E, FG‑1101E, FG‑1800F, FG‑1801F, FG‑2000E, FG‑2200E, FG‑2201E, FG‑2500E, FG‑2600F, FG‑2601F, FG‑3000F, FG‑3001F, FG‑3200F, FG‑3201F, FG‑3300E, FG‑3301E, FG‑3400E, FG‑3401E, FG‑3500F, FG‑3501F, FG‑3600E, FG‑3601E, FG‑3700F, FG‑3701F, FG‑3960E, FG‑3980E, FG‑4200F, FG‑4201F, FG‑4400F, FG‑4401F, FG‑4800F, FG‑4801F, FG‑6000F, FG‑7000E, FG‑7000F
• FortiWiFi FWF‑30G, FWF‑31G, FWF‑40F, FWF‑40F‑3G4G, FWF‑50G, FWF‑50G‑5G, FWF‑50G‑SFP, FWF‑50G‑DSL, FWF‑51G, FWF‑60F, FWF‑61F, FWF‑70G, FWF‑71G, FWF‑70G‑POE, FWF‑80F‑2R, FWF‑80F‑2R‑3G4G‑DSL, FWF‑81F‑2R, FWF‑81F‑2R‑3G4G‑DSL, FWF‑81F‑2R‑POE, FWF‑81F‑2R‑3G4G‑POE
• FortiGate Rugged FGR‑50G‑5G, FGR‑60F, FGR‑60F‑3G4G, FGR‑70F, FGR‑70F‑3G4G, FGR‑70G, FGR‑70G‑5G‑Dual
• FortiFirewall FFW‑1801F, FFW‑2600F, FFW‑3001F, FFW‑3501F, FFW‑3980E, FFW‑4200F, FFW‑4400F, FFW‑4401F, FFW‑4801F, FFW‑VM64, FFW‑VM64‑KVM
• FortiGate VM – series ARM64 y VM64 en AWS, Azure, GCP, OCI, KVM, RAXONDEMAND, XEN

Para la release note de FortiOS 7.6.7 se confirman las mismas familias de modelos, con énfasis en la compatibilidad de FortiGate 6000/7000 y la actualización de firmware a la versión 7.6.7, que incluye mejoras de rendimiento y correcciones de seguridad.

FortiManager/FortiAnalyzer/FortiGuard relevantes

• CVE‑2026‑22575 – Bypass de aprobación de sesiones de correo en FortiManager (media). PSIRT Advisory
• CVE‑2026‑70468 – Bypass de autenticación vía ruta alternativa en FortiManager (alta). PSIRT Advisory
• CVE‑2026‑84391 – Consumo incontrolado de recursos en el daemon SNMP de FortiAnalyzer (media). PSIRT Advisory
• CVE‑2026‑26084 – Control de acceso insuficiente a reglas NAT en FortiSandbox y variantes (alta). PSIRT Advisory
• CVE‑2026‑84393 – Validación de certificado incorrecta en el portal ZTNA de FortiOS y FortiProxy (alta). PSIRT Advisory

En cuanto a FortiGuard, la release note de FortiOS 8.0.0 indica la incorporación de nuevas reglas de filtrado y la actualización de la base de datos de amenazas a la versión 8.0.0, lo que mejora la detección de ataques de día cero y la mitigación de malware.

VPN/SD‑WAN/Security Fabric

• CVE‑2026‑84393 – Validación de certificado incorrecta en el portal ZTNA (alta), afectando la capa de VPN y la autenticación de usuarios en el fabric.
• CVE‑2026‑23573 – XSS reflejado en la generación de páginas web de FortiOS (media), que puede comprometer la interfaz de administración de VPN y SD‑WAN.
• La release note de FortiOS 8.0.0 destaca mejoras en el manejo de tráfico SD‑WAN y la integración de la capa de seguridad fabric, con nuevas políticas de enrutamiento y la habilitación de Security Fabric topology para tráfico hairpin.
• Se actualiza la compatibilidad de Agentless VPN (SSL‑VPN web mode), que ya no es compatible con algunos modelos FG‑6000 y FG‑7000, según la documentación de FortiOS 8.0.0.
• El soporte de Security Rating y la verificación de políticas de tráfico en el fabric se refuerza con nuevas reglas de inspección y la posibilidad de aplicar Policy check required for hairpin traffic.

Problemas conocidos

• CVE‑2026‑84387 – Inyección de comandos en la tarea “cron” de FortiSandbox 5.2, 5.0 y 4.4 (severidad Media).
• CVE‑2026‑84392 – Desreferencia de puntero nulo en FortiOS, FortiProxy y FortiPAM (severidad Baja).
• CVE‑2026‑26084 – Control de reglas NAT sin autenticación en FortiSandbox y FortiSandbox Cloud (severidad Alta).
• CVE‑2026‑84391 – Consumo de recursos no controlado en el daemon SNMP de FortiAnalyzer (severidad Media).
• CVE‑2026‑22575 – Bypass de aprobación de sesión de correo en FortiManager (severidad Media).
• CVE‑2026‑84393 – Validación de certificado incorrecta en FortiOS y FortiProxy (severidad Alta).
• CVE‑2026‑49975 – Asignación de memoria con tamaño excesivo en Apache HTTP Server (severidad Media).
• CVE‑2026‑70468 – Bypass de autenticación mediante ruta alternativa en FortiManager (severidad Alta).
• CVE‑2026‑71407 – Desbordamiento de buffer de pila en el proxy explícito de FortiOS (severidad Media).
• CVE‑2026‑71408 – DoS por asignación de recursos sin límite en FortiOS (severidad Media).
• CVE‑2025‑43892 – Lectura de buffer en los demonios authd y wad de FortiOS, FortiProxy y FortiSASE (severidad Baja).
• CVE‑2025‑62675 – Inyección de encabezados HTTP en la página de advertencia de filtro web de FortiOS (severidad Baja).
• CVE‑2025‑62826 – Inyección de encabezados HTTP en el formulario de autenticación del portal cautivo de FortiOS (severidad Baja).
• CVE‑2026‑59839 – Traversal de ruta que permite eliminar archivos raíz en FortiOS y FortiPAM (severidad Media).
• CVE‑2026‑23573 – XSS reflejado en la política de VPN SSL de FortiOS y FortiPAM (severidad Media).

No se han reportado nuevas vulnerabilidades críticas o de alta severidad en el periodo 28 Sep 2026 – 06 Oct 2026.

Radar: próximas versiones y modelos

• FortiOS 8.0.0 – Última versión publicada el 6 Oct 2026. Release notes listan los modelos soportados, incluyendo la serie FG‑30G – FG‑7000F, FG‑800D, FG‑900D, FG‑1000D, FG‑1100E, FG‑1800F, FG‑2000E, FG‑2200E, FG‑2500E, FG‑2600F, FG‑2601F, FG‑3000F, FG‑3001F, FG‑3200F, FG‑3201F, FG‑3300E, FG‑3301E, FG‑3400E, FG‑3401E, FG‑3500F, FG‑3501F, FG‑3600E, FG‑3601E, FG‑3700F, FG‑3701F, FG‑3960E, FG‑3980E, FG‑4200F, FG‑4201F, FG‑4400F, FG‑4401F, FG‑4800F, FG‑4801F, FG‑6000F, FG‑7000E – FG‑7000F.
• FortiOS 7.6.7 – Versión publicada el 6 Oct 2026. Release notes cubre los modelos FG‑30G – FG‑7000F y variantes de FG‑6000 y FG‑7000, así como las series FWF‑30G – FWF‑81F y FGR‑50G – FGR‑70G.
• No se anuncian versiones intermedias (por ejemplo 8.0.1) en la información disponible.

Qué debería hacer un sysadmin esta semana

• Actualizar todas las unidades FortiGate a la última versión de firmware (FortiOS 8.0.0) y verificar que los modelos soportados estén correctamente identificados.
• Revisar la configuración de FortiSandbox y FortiProxy para asegurar que las reglas NAT y los cron jobs estén protegidos contra inyección de comandos.
• Aplicar las mitigaciones recomendadas por Fortinet para los CVEs listados, especialmente los de severidad alta (CVE‑2026‑26084, CVE‑2026‑84393, CVE‑2026‑70468).
• Habilitar y revisar los registros de auditoría de FortiManager y FortiOS para detectar intentos de bypass de autenticación y de path traversal.
• Monitorear el consumo de recursos de SNMP en FortiAnalyzer y los procesos de proxy explícito para prevenir DoS.
• Verificar que las validaciones de certificados en los portales ZTNA y SSL‑VPN estén actualizadas y que los certificados no expiren.
• Revisar y, si es necesario, actualizar las políticas de filtrado de web y los formularios de autenticación para eliminar vulnerabilidades de XSS y de inyección de encabezados.
• Consultar la documentación de FortiOS 8.0.0 y 7.6.7 para confirmar los cambios de comportamiento por defecto y ajustes de configuración recomendados.