Fortinet Confirma Explotación Activa de una Falla Crítica en FortiCloud SSO

Fortinet —uno de los proveedores más usados de firewalls y soluciones de seguridad para redes empresariales— ha confirmado que una vulnerabilidad crítica en su sistema de inicio único de sesión (SSO) en la nube, FortiCloud, está siendo activamente explotada en entornos reales, incluso en dispositivos que se creían completamente parcheados. Esto representa un serio riesgo para organizaciones que confían en estas soluciones para proteger su perímetro de red y acceso administrativo.

¿Qué está sucediendo exactamente?

La vulnerabilidad, registrada como CVE-2025-59718 y CVE-2025-59719, afecta a múltiples productos de Fortinet cuando la función FortiCloud SSO está habilitada —incluyendo FortiGate, FortiWeb, FortiProxy y FortiSwitchManager— y permite a un atacante evadir completamente la autenticación SSO mediante mensajes SAML manipulados.

En términos prácticos, esto significa que un actor malicioso puede saltarse los mecanismos de autenticación y entrar directamente con privilegios administrativos a los dispositivos afectados.

Lo más preocupante es que estos fallos siguen siendo explotables en dispositivos que habían recibido parches recientes, lo que indica que la solución implementada no mitigó completamente el problema o hay una nueva variante activa que sigue permitiendo el bypass de seguridad. Fortinet ha reconocido esta situación y está trabajando en un parche más robusto para cerrar este vector de ataque.

Los ciberdelincuentes aprovechan la falla para ejecutar inicios de sesión SSO maliciosos, tras lo cual realizan varias acciones dañinas en segundos:

● Creación de cuentas administrativas genéricas para mantener acceso persistente.
● Modificación de configuraciones críticas de firewall, incluyendo reglas y accesos VPN
● Exfiltración de datos de configuración, que podría permitir comprometer aún más la infraestructura de red.

Los ataques se han observado tanto en versiones antiguas como en aquellas que habían recibido los parches lanzados en diciembre de 2025, lo que explica la urgente necesidad de Fortinet de emitir una corrección definitiva y aconsejar medidas de contención inmediatas.

Los firewalls no solo filtran tráfico: son la primera línea de defensa de muchas infraestructuras críticas. El hecho de que los exploits se puedan ejecutar sin autenticación legítima —simplemente mediante la manipulación de mensajes SAML— eleva este incidente a un nivel de riesgo extremo en ciberseguridad empresarial.

Mientras se espera un parche completo, Fortinet y los expertos en seguridad recomiendan varias medidas urgentes para mitigar el impacto:

● Deshabilitar la funcionalidad FortiCloud SSO en todos los dispositivos afectados hasta que esté disponible un parche confiable
● Restringir el acceso administrativo desde Internet mediante políticas Local-In y listas de control que limiten quién puede llegar a las interfaces de administración.
● Auditar cuentas administrativas para detectar perfiles inesperados o sospechosos creados recientemente.
● Revisar logs y eventos de SSO en busca de patrones inusuales, como inicios de sesión desde IPs no confiables.