FortiClient, el cliente de red privada virtual de Fortinet, carga un fallo crítico bautizado Fortinet2Shell que deja a una página web ejecutar código en la computadora de la víctima. No hace falta robar una contraseña ni entrar a la red de la empresa: basta una visita a un sitio preparado por el atacante, con el programa instalado en una de las versiones vulnerables.
El aviso oficial FG-IR-26-194 salió el 10 de noviembre de 2026 y le pone nombre técnico al problema: CVE-2026-121529, con nota 9.1 sobre 10 en la escala CVSS y categoría crítica. Fortinet lo clasifica como un error de validación de origen, CWE-346, en un punto local de su interfaz de programación (API). El ataque no pide autenticación, el impacto declarado es escalada de privilegios y la explotación exige interacción de la víctima, ese clic o esa visita que abre la página trampa.
La compañía anota que el fallo no consta explotado y agradece el reporte a John A. (Hexman), con ayuda de 0x646e78, por la vía de divulgación responsable.
Las versiones alcanzadas cubren escritorio completo. En la rama 7.4 quedan expuestos FortiClient para Mac, para Windows y el agente Windows PAM, de la 7.4.0 a la 7.4.7, con salida en la 7.4.8 o una posterior. La rama 7.2 de Windows y de Windows PAM corre de la 7.2.0 a la 7.2.14 y se cierra con la 7.2.15. Windows y Windows PAM suman una tercera rama tocada, la 7.0, de la 7.0.0 a la 7.0.15, corregida en la 7.0.16.
Fuera del aviso quedan las ramas 8.0, la edición de Mac de la rama 7.2 y FortiClient Windows Free VPN, declarado no impactado. Parche virtual no hay: el campo del aviso dice «No», así que actualizar cada equipo es la única salida real.
Una página web basta para hablar con el servicio local
El mecanismo lo contó Kevin Joensen, consultor principal de seguridad de Baldur Security, en una publicación de LinkedIn que contó SecurityWeek. De acuerdo con Joensen, la raíz es una configuración de CORS demasiado permisiva: CORS, el mecanismo con el que el navegador decide qué sitios pueden hablar con otros servicios, quedó abierto de tal forma que una página controlada por el atacante puede enviar peticiones al servicio local que FortiClient levanta en la máquina y lograr ejecución de código de forma fiable.
Fortinet2Shell salió de ese mismo investigador. Su aviso pone el acento en los equipos con FortiPAM activado, la herramienta de gestión de cuentas privilegiadas de la casa.
Para los administradores, Joensen dejó dos señales de exposición buscables en el parque de equipos: un servicio en escucha en el puerto TCP 9191 y el proceso FortiVRS.exe en ejecución. Son indicios de una instalación alcanzable por el fallo, no prueba de un ataque consumado, y sirven para ordenar la fila del parcheo: primero los equipos que muestren esas dos marcas.
Ese blanco tiene peso propio. FortiClient vive instalado en portátiles de empresa para la conexión remota y la protección del equipo, y FortiPAM administra justo las cuentas con más permisos de la organización. Una página web que logra ejecutar código en una máquina con ese perfil entrega al atacante un primer apoyo dentro de la red corporativa, sin haber tocado el cortafuegos ni el correo de nadie.
89 avisos en un día y una ventana corta para parchear
Fortinet2Shell no llegó solo. El martes 10 de noviembre Fortinet publicó 89 avisos de seguridad que corrigen cerca de 100 vulnerabilidades en su catálogo, con unas 17 calificadas de críticas y casi 80 de severidad alta en el conteo de SecurityWeek. FortiMail recibió la tanda crítica mayor, con FortiAuthenticator, FortiOS, FortiManager y FortiAnalyzer detrás; FortiSASE y el propio FortiClient también sumaron correcciones críticas.
El grupo crítico incluye ejecución de código arbitrario, saltos de autenticación, toma de cuentas, reinicios de contraseña del correo web y ejecución de comandos como superadministrador. Fortinet no menciona explotación activa en ninguno de los fallos de la tanda.
La tanda salió tres semanas después de que la compañía contara que integró modelos de inteligencia artificial de frontera en sus pruebas de seguridad de producto, el movimiento ya contado en los parches de Fortinet con inteligencia artificial. En la frase que SecurityWeek atribuye a la empresa, ese esfuerzo busca dar tiempo a los clientes para priorizar las actualizaciones antes de que los detalles técnicos se hagan públicos, un margen que importa más cuando la IA acorta el tramo entre la divulgación de un fallo y su explotación.
Del endpoint exacto atacado no hay dato público: Fortinet no lo publicó en el aviso y tampoco circula una prueba de concepto oficial. Lo que sí quedó fijado es el inventario del riesgo, equipo por equipo. Mientras un portátil siga en FortiClient 7.4.7 o en una versión menor de las ramas tocadas, con su servicio local en escucha, la visita a la página equivocada sigue siendo el único requisito del ataque.
Fuente: Fortinet
Top comments (0)