Múltiples vulnerabilidades en productos de Fortinet

Se han re­por­ta­do dos fa­llas de se­gu­ri­dad con nivel de im­por­tan­cia crí­ti­co que afec­tan a cier­tos ar­tícu­los ela­bo­ra­dos por For­ti­net. Dis­tin­tos es­pe­cia­lis­tas e in­ves­ti­ga­do­res han no­ti­fi­ca­do estos fa­llos, los cua­les tie­nen el po­ten­cial de fa­ci­li­tar la eva­sión de me­ca­nis­mos de au­ten­ti­ca­ción o la re­di­rec­ción del trá­fi­co web de los usua­rios si se lle­gan a ex­plo­tar.

La pri­me­ra de­fi­cien­cia co­rres­pon­de al iden­ti­fi­ca­dor CVE-2026-84390, lo­ca­li­za­da en el por­tal web For­ti­Mo­ni­to­rOn­Sight de­bi­do a una in­clu­sión de in­for­ma­ción sen­si­ble en el có­di­go fuen­te, lo que po­si­bi­li­ta que un ata­can­te re­mo­to y sin au­ten­ti­ca­ción evada el con­trol de ac­ce­so uti­li­zan­do to­kens JWT re­uti­li­za­dos o fal­si­fi­ca­dos. La se­gun­da de­bi­li­dad se iden­ti­fi­ca como CVE-2026-84388 y afec­ta a la ex­ten­sión de Chro­me de For­ti­net Pri­vi­le­ged Ac­cess Agent, pre­sen­tán­do­se por un error de au­ten­ti­ca­ción que per­mi­te des­viar el trá­fi­co de na­ve­ga­ción hacia ser­vi­do­res ma­li­cio­sos ad­mi­nis­tra­dos por ter­ce­ros cuan­do la víc­ti­ma ac­ce­de a una pá­gi­na web ma­li­cio­sa.

Para mi­ti­gar estos pro­ble­mas, se re­co­mien­da apli­car las ac­tua­li­za­cio­nes co­rres­pon­dien­tes en los re­cur­sos afec­ta­dos, ele­van­do For­ti­Mo­ni­to­rOn­Sight a la ver­sión es­pe­ci­fi­ca­da como so­lu­ción o su­pe­rior, y ac­tua­li­zan­do la ex­ten­sión de Chro­me de For­ti­PAM a la ver­sión in­di­ca­da o a una ver­sión fija.