Fortinet corrige una ejecución remota de código en FortiSIEM
CVE-2026-106173 afecta a varias ramas de FortiSIEM y permite ejecutar comandos mediante paquetes manipulados. Fortinet publicó correcciones y no informa de explotación activa.
Fortinet publicó el 13 de octubre el aviso FG-IR-26-180 para CVE-2026-106173 en FortiSIEM. El fallo es un path traversal que puede permitir a un atacante remoto ejecutar código o comandos mediante paquetes especialmente construidos. No exige autenticación, según el registro CVE, por lo que los equipos que reciben tráfico desde redes no confiables necesitan revisión prioritaria. Fortinet no informa de explotación activa en el aviso consultado.
Versiones y correcciones
CVE.org identifica como afectadas FortiSIEM 7.5.0 y las ramas 7.4.0–7.4.2, 7.3.0–7.3.5, 7.2.0–7.2.7, 7.1.0–7.1.9 y 7.0.0–7.0.4. La corrección no es una actualización genérica de toda la familia Fortinet: las versiones fijas se indican rama por rama en el PSIRT. Para FortiSIEM, el advisory apunta a 7.5.1 o posterior; otras ramas tienen versiones de mantenimiento propias.
El resumen inicial daba 9,4, cifra del advisory de Fortinet. Algunas bases secundarias pueden mostrar otra puntuación al usar un vector o una revisión distinta. No mezcles métricas de fuentes distintas en el titular: el dato seguro es que Fortinet la clasifica como crítica y su propia ficha da 9,4. El registro CVE detalla además las versiones y la descripción técnica.
-InfraCrew dice: un SIEM suele ver pasar mucha telemetría; descubrir que su propio plano de gestión necesita un parche urgente tiene una ironía poco reconfortante.-
-InfraCrew dice: el riesgo de un componente de seguridad no mejora por estar en el inventario de herramientas de seguridad.-
Qué comprobar en una instalación
Identifica nodos FortiSIEM, versiones y exposición del componente afectado. Comprueba si el flujo relevante llega desde redes administrativas o desde segmentos más amplios. No deduzcas el puerto expuesto por el nombre del producto ni cambies reglas a ciegas: el advisory y la arquitectura desplegada deben guiar la comprobación.
Planifica la actualización a la versión corregida para la rama soportada y revisa las notas de versión y procedimiento de Fortinet. En una topología de alta disponibilidad o con ingestión crítica, confirma impacto y orden de actualización antes de ejecutar. Si el parche no puede aplicarse de inmediato, el aviso describe una mitigación de red; verifica exactamente qué tráfico restringir y prueba que el cambio no interrumpe componentes legítimos.
CVE-2026-106173 importa porque afecta a una plataforma de seguridad que suele concentrar datos y funciones de administración. Que un producto sea defensivo no lo convierte en zona de confianza automática: segmentación, acceso mínimo y ciclo de actualización también deben cubrir la consola y sus servicios auxiliares. Una plataforma centralizada puede convertir un componente olvidado en un punto de apoyo relevante.
El CVSS ayuda a comparar severidades, pero no sustituye a leer el vector. CVE.org indica PR:N (sin privilegios previos) y efectos altos sobre confidencialidad, integridad y disponibilidad; FortiGuard describe la ejecución no autorizada de código o comandos mediante paquetes especialmente construidos, sin autenticación. FortiGuard propone restringir el acceso a TCP/27918 como mitigación; esa medida limita el tráfico hacia el servicio vulnerable, pero no sustituye la instalación de la versión corregida de la rama. La exposición y el parche son controles distintos, no alternativas.
La revisión debe incluir también los servicios que ingieren eventos desde esos nodos y las dependencias de almacenamiento. Un parche no reemplaza el análisis posterior si hay señales de abuso; conservar registros y correlacionarlos puede ayudar a entender alcance. No hay indicios publicados de explotación de este CVE, así que mantengamos separado el riesgo técnico del estado observado.
-InfraCrew dice: un CVSS distinto en dos sitios es una invitación a abrir las fuentes, no a elegir el número más dramático.-
Diccionario de la Crew
Path traversal — Fallo que permite escapar de la ruta o directorio permitido al procesar nombres de archivo.
PSIRT — Equipo del fabricante que coordina avisos y respuesta a vulnerabilidades.
RCE — Ejecución remota de código en un sistema vulnerable.
Fuentes
- FortiGuard PSIRT — https://www.fortiguard.com/psirt/FG-IR-26-180
- CVE.org — https://www.cve.org/CVERecord?id=CVE-2026-106173
