El INCIBE-CERT ha emitido una ciberalerta por ocho vulnerabilidades de severidad crítica en productos Fortinet que permiten ejecutar código sin autenticación.
El aviso se publicó el miércoles 11 de noviembre de 2026, a las 09:40 horas, con el identificador INCIBE-2026-855. El INCIBE-CERT es el equipo de respuesta ante incidentes del INCIBE, el organismo público que vela por la ciberseguridad de empresas y ciudadanos, y su sistema de alerta temprana notifica fallos con corrección pendiente para que las organizaciones actúen antes de que exista explotación.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT publica la alerta INCIBE-2026-855 por ocho vulnerabilidades críticas en FortiOS, FortiManager y FortiAnalyzer.
- ¿Dónde y cuándo? Aviso emitido el miércoles 11 de noviembre de 2026 a las 09:40 horas por el equipo de respuesta del INCIBE.
- ¿Qué resultado? Ocho CVE críticas, cuatro con ejecución de código o comandos sin autenticación y varias ramas todavía sin parche definitivo.
Ocho CVE críticas en el corazón de la red corporativa
El boletín reúne ocho CVE de severidad crítica, la máxima del baremo. Cuatro de ellas permiten a un atacante ejecutar código o comandos: CVE-2026-126261, por una comprobación de autorización incorrecta antes de verificar la contraseña de registro en el servicio FGFM de FortiManager; CVE-2026-126170, por una codificación defectuosa de la salida de la API JSON-RPC; CVE-2026-126260, por falsificación de solicitudes del lado del servidor (SSRF) en OFTP; y CVE-2026-126262, por inyección SQL en OFTP.
El resto completa un mapa de riesgo variado. CVE-2026-126259, un fallo de autenticación en el procesamiento de paquetes de alta disponibilidad, permite ejecutar comandos con privilegios de superadministrador en configuraciones con FGSP y standalone-config-sync o con escalado automático. CVE-2026-126229 da a un administrador autenticado acceso a otros dominios virtuales (VDOM) mediante peticiones HTTP manipuladas. CVE-2026-126253 salta la autenticación de OSPF desde una red adyacente y CVE-2026-126254 provoca denegación de servicio con paquetes BGP manipulados.
En FortiOS están afectadas las ramas de 8.0.0 a 8.0.1, de 7.6.0 a 7.6.7, de 7.4.0 a 7.4.12 y de 7.2.0 a 7.2.13. FortiManager y FortiAnalyzer lo están de 8.0.0 a 8.0.2, de 7.6.0 a 7.6.7, de 7.4.0 a 7.4.11 y en todas las versiones de la rama 7.2. FortiManager Cloud y FortiAnalyzer Cloud repiten el patrón en la nube, mientras FortiSASE 26.3.1 y 26.3.1_a y las ramas 26.2, 26.1, 25.4, 25.3, 25.2, 25.1.a y 25.1 quedan expuestas.
El fabricante califica la explotación como no confirmada para las ocho vulnerabilidades. No consta ataque en curso, pero sí una superficie de exposición amplia en equipos que actúan como puerta de entrada de la red corporativa. El aviso insiste en un punto: varias ramas carecen de parche definitivo, de modo que la actualización resuelve parte del problema y no todo.
El sistema de alerta temprana del INCIBE-CERT permite a las organizaciones españolas reaccionar ante fallos críticos antes de que exista explotación conocida.
Parches disponibles y ramas que siguen sin corrección
La actualización de FortiOS debe llevar a 8.0.2, 7.6.8, 7.4.13 o 7.2.14, o a una versión posterior de la rama en uso. FortiManager, FortiAnalyzer y sus variantes Cloud deben subir a 7.6.8 o 7.4.12. En la rama 7.2 de gestión no hay corrección: INCIBE-CERT recomienda migrar a una rama corregida para resolver CVE-2026-126229.
Quedan tres frentes abiertos. En la rama 8.0 de FortiOS, la instalación de 8.0.2 aplica las correcciones disponibles y obliga a saltar a 8.0.3 cuando se publique el parche de CVE-2026-126170. FortiAnalyzer-BigData necesita la 7.6.3, aún pendiente, para ese mismo CVE. Y para CVE-2026-126260 el organismo pide confirmar con Fortinet la versión corregida aplicable.
En FortiSASE, el fabricante aplicó la corrección en la versión 26.3.2; las ramas anteriores y FortiSASE-Sovereign 25, 25.3 y 25.4 deben migrar. Mientras no llegue el parche de CVE-2026-126170, la recomendación es deshabilitar la API JSON en los perfiles de administrador afectados con set rpc-permit none, conforme al boletín FG-IR-26-219. Para CVE-2026-126259 existe un parche virtual FMWP 26.082, detallado en FG-IR-26-273.
El aviso se apoya en ocho boletines del fabricante: FG-IR-26-267, FG-IR-26-244, FG-IR-26-275, FG-IR-26-219, FG-IR-26-268, FG-IR-26-274, FG-IR-26-273 y FG-IR-26-276. La ficha completa, con el detalle de versiones y las mitigaciones, está disponible en el aviso publicado por INCIBE-CERT.
El Contexto Operativo
FortiOS, FortiManager y FortiAnalyzer ocupan posiciones de control: son el cortafuegos perimetral, la consola que reparte políticas y el repositorio donde se audita el tráfico. Un fallo que permita ejecutar comandos sin autenticación en cualquiera de las tres capas no compromete un servidor aislado: compromete la visibilidad y el control de toda la red. Por eso el INCIBE-CERT mantiene la alerta activa y la dirige a administradores de sistemas, no al usuario doméstico.
El dato que mide la utilidad del aviso está en el propio boletín: ocho CVE críticas concentradas en un solo fabricante y cuatro de ellas con ejecución de código o comandos sin autenticación, con la explotación aún no confirmada. Ese margen —vulnerabilidad publicada, ataque no registrado— es exactamente la ventana que el sistema de alerta temprana del INCIBE-CERT aprovecha a favor de las organizaciones españolas: la corrección se aplica antes de que exista campaña de explotación.
La proyección es clara. Mientras Fortinet no publique las versiones 8.0.3 de FortiOS y 7.6.3 de FortiAnalyzer-BigData, y no se confirme la corrección de CVE-2026-126260, las ramas afectadas seguirán dependiendo de mitigaciones parciales. Los administradores tienen dos tareas inmediatas: inventariar los equipos Fortinet expuestos y comprobar el estado de la API JSON. Quien no pueda actualizar esta semana debe aplicar rpc-permit none y el parche virtual FMWP 26.082.
El seguimiento del aviso puede consultarse en el portal de INCIBE-CERT, que actualiza las fichas cuando el fabricante publica nuevas versiones corregidas.
