Las autoridades federales y los investigadores de seguridad advierten sobre una vulnerabilidad crítica en el inicio de sesión único de Fortinet FortiCloud, que actualmente se encuentra bajo explotación.
El defecto, rastreado como CVE-2026-24858permite a un atacante con un dispositivo registrado y una cuenta FortiCloud acceder a dispositivos registrados en otras cuentas. La autenticación SSO de FortiCloud debe estar habilitada en esos otros dispositivos para que el ataque funcione.
La Agencia de Seguridad de Infraestructura y Ciberseguridad el miércoles Advirtió que Fortinet ha confirmado varias formas de actividad maliciosa.incluidos los piratas informáticos que cambian las configuraciones del firewall en los dispositivos FortiGate, crean cuentas falsas no autorizadas y realizan cambios en las cuentas VPN para obtener acceso a nuevas cuentas.
CISA dijo que los usuarios que previamente parchearon fallas de omisión de SSO en diciembre, fueron rastreados como CVE-2025-59718 y CVE-2025-59719no estaban protegidos contra esta vulnerabilidad y necesitaban una actualización. CISA añadió el nuevo defecto a su Vulnerabilidades explotadas conocidas catalogar.
servidor de sombras informó alrededor de 10,000 casos vulnerables.
Fortinet publicó una guía el martes para que los usuarios actualizar a una versión segura. La falla afecta a los usuarios de múltiples productos.
fortinet el lunes deshabilitó FortiCloud SSO para evitar abusos y restableció el acceso el martes, según una publicación de blog. La compañía señaló que ya no se admitirá el acceso a dispositivos vulnerables.
Investigadores del lobo ártico comenzó a ver un patrón de cambios de configuración automatizados a los firewalls el 15 de enero. Los piratas informáticos estaban creando cuentas genéricas para ganar persistencia, haciendo cambios para permitir el acceso VPN a las cuentas. Esto llevó a cambios de configuración adicionales y filtración de datos.
«A pesar de las diferentes fallas técnicas subyacentes, todavía hay similitudes entre las campañas de diciembre y enero», dijeron los investigadores de Arctic Wolf a Cybersecurity Dive en un comunicado enviado por correo electrónico. «En ambos casos, observamos una autenticación exitosa a través de Fortinet SSO seguida de una descarga casi inmediata de los archivos de configuración del firewall, a menudo en cuestión de segundos, lo que sugiere un comportamiento automatizado o programado».
Conversación