Fortinet fija para hoy parches críticos en FortiOS, FortiManager y FortiAnalyzer
Fortinet ha programado para el 22 de octubre actualizaciones coordinadas para tres líneas centrales de su plataforma de red y seguridad. Ha publicado versiones corregidas y recomienda priorizar equipos expuestos a Internet, pero reservará los avisos técnicos con CVE hasta el 10 de noviembre.
Fortinet ha programado para el 22 de octubre actualizaciones coordinadas de FortiOS, FortiManager y FortiAnalyzer, después de publicar correcciones para FortiMail y FortiAuthenticator. La compañía las califica de prioritarias y afirma que incluyen fallos críticos y de severidad alta. Los avisos públicos con identificadores CVE y detalle técnico del PSIRT de Fortinet, sin embargo, no llegarán hasta el 10 de noviembre.
El detalle que falta es el que calibra el riesgo: ya se conocen ramas afectadas y versiones objetivo, pero aún no se puede contrastar públicamente la exposición por CVE, vector o configuración concreta. Ni Fortinet ni DKCERT afirman que los fallos estén siendo explotados en ataques activos. La prioridad se basa en la severidad comunicada por el fabricante y en que los dispositivos de borde suelen quedar expuestos directamente a Internet.
-InfraCrew dice: Es incómodo reservar una ventana sin la ficha completa del fallo; lo es más descubrir que la ventana no existía cuando llega la ficha.-
Versiones publicadas por Fortinet
La tabla recoge los rangos afectados y la primera versión que Fortinet identifica como corregida para cada rama. “O superior” significa que la empresa recomienda una versión igual o posterior dentro de esa línea; no convierte cualquier salto entre ramas en una ruta de actualización compatible.
| Producto | Rama y versiones afectadas | Versión corregida |
|---|---|---|
| FortiOS | 8.0.0–8.0.1 | 8.0.2 o superior |
| FortiOS | 7.6.0–7.6.7 | 7.6.8 o superior |
| FortiOS | 7.4.0–7.4.12 | 7.4.13 o superior |
| FortiOS | 7.2.0–7.2.13 | 7.2.14 o superior |
| FortiManager | 8.0.0–8.0.1 | 8.0.2 o superior |
| FortiManager | 7.6.0–7.6.7 | 7.6.8 o superior |
| FortiManager | 7.4.0–7.4.11 | 7.4.12 o superior |
| FortiManager | 7.2.0–7.2.12 | 7.2.13 o superior |
| FortiAnalyzer | 8.0.0–8.0.1 | 8.0.2 o superior |
| FortiAnalyzer | 7.6.0–7.6.7 | 7.6.8 o superior |
| FortiAnalyzer | 7.4.0–7.4.11 | 7.4.12 o superior |
| FortiAnalyzer | 7.2.0–7.2.12 | 7.2.13 o superior |
Fortinet dice que el descubrimiento se apoyó en su programa de pruebas asistidas por modelos de IA y cita colaboración con Anthropic, OpenAI, Google y SpaceX. Es una explicación del fabricante sobre cómo encontró los fallos, no una publicación del análisis que permita verificar qué vulnerabilidad produjo cada cambio. El fabricante sostiene además que el análisis de parches puede acelerar la creación de exploits; hasta que aparezcan los advisories, no conviene traducir esa advertencia general en una afirmación de explotación actual.
Preparar el cambio, no improvisarlo
Empieza por inventariar las versiones de FortiOS, FortiManager y FortiAnalyzer, incluyendo appliances gestionados desde una consola y servicios cloud. Prioriza los dispositivos accesibles desde Internet, pero confirma el camino de actualización soportado para cada modelo y rama antes de instalar: la tabla identifica el mínimo corregido, no enumera dependencias intermedias ni compatibilidad con hardware.
Conviene preparar el cambio desde ahora: Fortinet recomienda programar mantenimiento para el 22 y 23 de octubre y guardar las configuraciones antes de actualizar. En FortiManager Cloud la versión puede requerir una acción manual; FortiSASE se actualizará automáticamente y los despliegues de nube pública dependen del proceso de cada proveedor. No hay que tratar una consola compartida como si fuera un único firmware: inventario y verificación deben separar cada servicio.
-InfraCrew dice: “Está todo en FortiManager” describe dónde miras la flota; no prueba que la flota tenga la misma versión.-
Si las actualizaciones aún no están disponibles o no puedes aplicarlas hoy, el fabricante recomienda reducir temporalmente la exposición administrativa: limitar HTTPS y SSH a direcciones de confianza, evitar que FortiManager sea alcanzable desde Internet, exigir MFA a las cuentas administrativas y usar VPN, SASE o gestión fuera de banda donde encaje con la arquitectura. Estas medidas reducen superficie, pero Fortinet aclara que no sustituyen al parche.
Tras el cambio, mantén trazabilidad por dispositivo: registra versión anterior y posterior, resultado y cualquier intervención manual. Revisa también los registros de accesos administrativos y cambios de configuración, antes y después del despliegue. El aviso público del 10 de noviembre debería permitir relacionar estos cambios con CVE y condiciones técnicas; hasta entonces, mantén la atribución y los límites claros y no inventes una causa a partir del silencio del fabricante.
-InfraCrew dice: Una lista de versiones corregidas es útil; un plan que no distingue cloud, on-prem y equipo expuesto acaba siendo una captura de pantalla con mucho optimismo.-
Diccionario de la Crew
PSIRT — Equipo de respuesta de seguridad del fabricante que publica avisos y correcciones de vulnerabilidades.
MFA — Autenticación multifactor, que exige más de una prueba para validar el acceso.
gestión fuera de banda — Administración de un dispositivo por una red de gestión separada del tráfico de producción.
Fuentes
Fortinet CISO Collective — hardening coordinado | https://www.fortinet.com/blog/ciso-collective/fortinet-releases-security-hardening-release-for-multiple-products
DKCERT — aviso sobre las correcciones críticas de Fortinet | https://www.cert.dk/news/2026-10-21/Fortinet-advarer-om-kritiske-sikkerhedsrettelser
