Fortinet alerta de una inyección SQL en FortiAnalyzer y FortiManager
CVE-2026-23705 puede permitir a una cuenta con pocos privilegios ejecutar comandos en FortiAnalyzer y FortiManager. Fortinet y el Centro Canadiense de Ciberseguridad publicaron el 13 de octubre la tanda de avisos y sus ramas afectadas.
Fortinet publicó el 13 de octubre una nueva tanda de avisos de seguridad que afecta a productos de gestión y análisis de su ecosistema. Uno de los problemas más relevantes para FortiAnalyzer y FortiManager es CVE-2026-23705: una inyección SQL que puede permitir a un usuario con pocos privilegios ejecutar comandos mediante solicitudes manipuladas. No es un acceso anónimo según la descripción del fallo, pero una cuenta de bajo nivel puede convertir un permiso limitado en un riesgo de ejecución en el servidor.
El aviso canadiense AV26-1037 recoge los productos afectados y las versiones de corrección para varias líneas. También incluye FortiMail, FortiSIEM y FortiSandbox, entre otros productos; esta pieza se centra en FortiAnalyzer y FortiManager, porque el riesgo de una plataforma de administración puede extenderse más allá del propio appliance y alcanzar la operación cotidiana de la red.
-InfraCrew dice: Una cuenta con pocos privilegios no debería poder convertir una consulta en una consola; por eso la palabra “autenticado” tampoco cierra el caso-
Qué implica la inyección SQL en la capa de gestión
CVE-2026-23705 se describe como inyección SQL en FortiAnalyzer y FortiManager. En los productos y ramas indicados por Fortinet, una solicitud construida por un usuario con pocos privilegios podría ejecutar comandos arbitrarios. El vector es de red y no requiere interacción adicional de otra persona, pero la condición de privilegios importa: las fuentes no describen este fallo como una ejecución remota anónima.
El alcance exacto depende del producto y de su rama. El Centro Canadiense de Ciberseguridad enumera, entre otros, FortiAnalyzer anterior a 7.6.5 y 7.4.8, y FortiManager anterior a 7.6.5 y 7.4.7. La propia tabla contiene líneas adicionales y diferencias por servicio cloud; hay que cotejar el advisory PSIRT correspondiente con la versión instalada en cada instancia, sin asumir que un número de rama equivale a otro producto.
Las plataformas de análisis y gestión suelen tener visibilidad o capacidad de cambio sobre muchos dispositivos. Eso no prueba que un atacante pueda controlar automáticamente toda una red desde una cuenta afectada; el impacto depende de los privilegios concretos, la configuración y las integraciones disponibles. Sí explica por qué una vulnerabilidad en esos sistemas merece atención aunque no afecte directamente al plano de datos de cada firewall.
-InfraCrew dice: El panel de gestión no reenvía cada paquete, pero suele tener las llaves del edificio-
Revisar las ramas, aplicar la corrección y comprobar el acceso
Fortinet y el organismo canadiense recomiendan revisar las versiones y aplicar las actualizaciones necesarias. Para los administradores, el primer paso es inventariar FortiAnalyzer y FortiManager, incluyendo servicios cloud y ramas antiguas; luego comparar cada build con la tabla del aviso. Las versiones concretas varían por producto, y algunas ramas tienen arreglos diferentes o pendientes, por lo que actualizar “a la última” sin comprobar la ruta soportada tampoco es un procedimiento universal.
La corrección de software no sustituye la revisión de cuentas. Como la explotación descrita requiere privilegios bajos, tiene sentido revisar qué usuarios pueden acceder a las interfaces de administración, si esas cuentas siguen siendo necesarias y si sus permisos están acotados. También conviene consultar los registros disponibles en busca de actividad anómala, de acuerdo con los procedimientos propios y las indicaciones de Fortinet. Las fuentes consultadas no confirman explotación activa de esta vulnerabilidad; no se debe confundir publicación de un advisory con ataques observados.
-InfraCrew dice: La cuenta de servicio “temporal” que lleva tres años en producción acaba de pedir que le revisen los privilegios-
La tanda del 13 de octubre cubre productos distintos y no todos comparten el mismo vector o impacto. Fortinet publica los detalles técnicos y las correcciones en avisos PSIRT separados; AV26-1037 sirve como índice de productos afectados, no como sustituto de cada boletín. Si una organización usa varios componentes Fortinet, conviene revisar el conjunto de avisos, pero mantener separadas las condiciones de explotación y las versiones aplicables a cada producto.
Diccionario de la Crew
Inyección SQL — vulnerabilidad que permite alterar consultas a una base de datos mediante entradas manipuladas.
Privilegios bajos — permisos limitados asignados a una cuenta autenticada; no equivalen a acceso anónimo.
Plano de gestión — interfaces y servicios usados para configurar, administrar y supervisar la infraestructura.
PSIRT — equipo de respuesta del fabricante que coordina la recepción, análisis y publicación de vulnerabilidades.
