El 1 de octubre de 2026 Fortinet publicó un aviso sobre un fallo en FortiMail, la pasarela de seguridad de correo electrónico que muchas empresas colocan delante de sus buzones para inspeccionar el correo entrante y saliente. El fallo, CVE-2026-104286, tiene una puntuación de 9.8 sobre 10, puede explotarlo un atacante sin cuenta y sin contraseña, y Fortinet afirma que se está explotando de forma activa. Ese mismo día, la Autoridad Nacional de Ciberseguridad de Arabia Saudí (NCA) emitió la alerta 2026-7895 con gravedad Crítica, y la Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA) lo añadió a su catálogo de vulnerabilidades explotadas conocidas.

Por qué este fallo importa a la dirección antes que a TI

La semana pasada escribimos sobre un fallo explotado en el gestor de redes de sucursales de Cisco y sobre la pregunta de quién parchea los sistemas gestionados de su empresa. Este se diferencia en algo que importa a la dirección antes que a TI: entre los indicadores de compromiso que publicó Fortinet hay una línea de registro que muestra que el atacante añadió una cuenta de archivo de correo cuyo destino es un servidor externo. Aquí el riesgo no se queda en el equipo. Llega al propio correo de la empresa.

Qué publicó Fortinet

  • Producto: FortiMail, la pasarela de seguridad de correo electrónico de Fortinet.
  • El fallo: una debilidad de recorrido de rutas (path traversal) combinada con un manejo incorrecto de los bytes NULL en las peticiones, que permite que una petición HTTP o HTTPS manipulada escriba archivos en el propio sistema del equipo. Fortinet califica el impacto como ejecución de código o comandos no autorizados.
  • Condición previa: ninguna. Un atacante remoto no autenticado, con una puntuación CVSS de 9.8 sobre 10.
  • Estado: explotado de forma activa según Fortinet, y descubierto internamente por su propio equipo de seguridad.
  • La corrección: cuando salió el aviso todavía no había actualizaciones disponibles, y SecurityWeek informó el 2 de octubre de que las correcciones llegarían en próximas versiones sin fecha de publicación. Después, las notas de versión de Fortinet fechan la versión 7.6.7 el 2 de octubre y las versiones 7.4.9 y 8.0.2 el 3 de octubre, y el 5 de octubre Fortinet actualizó la sección de solución del aviso. Las versiones corregidas están en la tabla de abajo.
  • Alerta local: alerta 2026-7895 de la Autoridad Nacional de Ciberseguridad, con fecha 1 de octubre de 2026, gravedad Crítica, que recomienda actualizar los productos afectados.
  • El plazo en EE. UU.: CISA dio a las agencias federales de EE. UU. hasta el 4 de octubre, tres días, y sometió el fallo a sus requisitos de triaje forense. Es la octava vulnerabilidad de Fortinet que la agencia añade a su catálogo desde el inicio de 2026.

Versiones afectadas y corregidas, según el aviso:

Rama de versiónVersiones afectadasCorrección
8.08.0.0 hasta 8.0.18.0.2 o posterior
7.67.6.0 hasta 7.6.67.6.7 o posterior
7.47.4.0 hasta 7.4.87.4.9 o posterior
7.27.2.0 hasta 7.2.9Pasar a la rama 7.4 o posterior

Fíjese en la última fila: la rama 7.2 no recibe corrección dentro de la rama. Necesita pasar a otra rama, lo que requiere planificación pero no puede esperar.

Por qué la pasarela de correo importa tanto

La pasarela de correo se sitúa entre internet y los buzones de su personal, así que todo mensaje entrante y saliente pasa por ella: presupuestos, facturas de proveedores, contratos, correspondencia bancaria y solicitudes de cambio de datos bancarios. Por eso tiene amplios poderes sobre el correo. Es el sistema que inspecciona, pone en cuarentena, cifra y archiva los mensajes.

La ruta que explota el fallo pertenece a la función IBE, cifrado basado en identidad, que FortiMail usa para enviar mensajes cifrados que los destinatarios abren a través de un portal web. En muchas configuraciones ese portal es accesible desde internet para que puedan usarlo destinatarios de fuera de la empresa.

La huella que debe buscar su equipo: una cuenta de archivo que nadie creó

Junto con el aviso, Fortinet publicó indicadores de compromiso. Incluyen dos direcciones IP, 79.141.169.187 y 45.129.0.192, y una línea del registro de eventos del sistema que muestra que se añadió una cuenta de archivo llamada archive234, con un servidor remoto como destino: la misma dirección, 79.141.169.187, en un directorio llamado /uploads. La misma línea muestra que el cambio se hizo con el nombre de usuario admin, desde la línea de comandos.

Para entender qué significa esa línea: la función de archivo de FortiMail guarda los mensajes archivados en cuentas de archivo, y cada cuenta tiene un destino. Puede ser local, en el disco del equipo o en un servidor de almacenamiento en red, o remoto, en un servidor al que el equipo se conecta por FTP o SFTP. Qué mensajes se archivan lo deciden políticas de archivo independientes. Así, una cuenta de archivo apuntando al servidor del atacante se convierte, en cuanto se le asocia una política de archivo, en una vía para copiar mensajes fuera de la empresa. El aviso no dice si realmente se copió algún correo en los casos detectados.

Qué pedir a su equipo de TI o a su proveedor de servicios:

  • Revisar cada cuenta de archivo y cada política de archivo del equipo, y preguntar por cualquier destino remoto que nadie en la empresa reconozca.
  • Buscar en los registros las dos direcciones publicadas, y una cuenta llamada archive234 o cualquier cuenta de archivo reciente cuyo creador se desconozca.
  • Revisar las cuentas de administrador del equipo y cualquier cambio de configuración que nadie pueda explicar.
  • Guardar una copia de los registros y de la configuración antes de parchear. La configuración suele sobrevivir a una actualización, así que una cuenta añadida antes sigue ahí hasta que alguien la elimine. El parche cierra la puerta. No le dice quién entró por ella.

Si no puede parchear esta noche

Fortinet indica una solución provisional con tres opciones:

  • Desactivar la función IBE en la interfaz gráfica (Encryption, luego IBE, luego desactivar IBE Service) o desde la línea de comandos.
  • O bloquear el acceso desde internet a la interfaz de webmail de FortiMail, o limitarlo a una red privada de confianza.
  • O, si hay un cortafuegos de aplicaciones web delante del equipo, bloquear las peticiones POST a /ibe que contengan ../ .

Desactivar IBE detiene el envío cifrado a través de esa función, así que si algún departamento depende de ella, acuerde con él una alternativa temporal. Una solución provisional reduce quién puede llegar al fallo. No sustituye a la actualización, ni elimina la necesidad de comprobar lo que ocurrió antes.

El daño real llega a finanzas semanas después

Copiar el correo no es el objetivo en sí. Quien lee su correspondencia con proveedores sabe quién envía facturas, cuándo, en qué formato y qué órdenes de compra están pendientes de pago. Ese es justo el material que necesita el fraude de desvío de facturas: un mensaje que parece venir del proveedor, dentro de una conversación real, pidiendo que el próximo pago vaya a una nueva cuenta bancaria.

Detener este tipo de fraude no requiere tecnología. Requiere una regla que su equipo de finanzas siga a partir de hoy:

  • La cuenta bancaria de un proveedor nunca se cambia solo por un correo electrónico, por auténtico que parezca.
  • Verificar por teléfono en un número que ya conste en la ficha del proveedor, nunca en un número dado en el propio mensaje.
  • Un cambio en los datos bancarios de un proveedor necesita la aprobación de una segunda persona distinta de quien lo introdujo, y el sistema registra quién lo cambió y cuándo.
  • El primer pago a una nueva cuenta bancaria recibe una revisión más atenta que el resto.

Explicamos cómo integrar el circuito de cambio de datos bancarios en el sistema en nuestro artículo sobre las remesas programadas de pago a proveedores y la conciliación de extractos.

Si resulta que se copiaron mensajes

Si su equipo encuentra una cuenta de archivo desconocida o pruebas de que se copiaron mensajes, trátelo como una violación de datos, no como un error de configuración, porque el correo suele contener datos personales: nombres, números de móvil y direcciones de clientes. La guía de procedimiento de la Autoridad Saudí de Datos e Inteligencia Artificial (SDAIA) sobre incidentes de violación de datos personales exige al responsable notificar a la autoridad competente en un plazo de 72 horas desde que tiene conocimiento de un incidente que pueda dañar los datos o a las personas a las que pertenecen, o entrar en conflicto con sus derechos o intereses, y notificar a los interesados afectados sin demora indebida si daña sus datos o entra en conflicto con sus derechos o intereses. Informe también a los proveedores y clientes cuya correspondencia quedó expuesta, porque pueden recibir mensajes fraudulentos con el nombre de su empresa.

La visión de Origami

Construimos sistemas de gestión empresarial. No vendemos ni operamos equipos de correo. Pero todo sistema que construimos envía correo: facturas, confirmaciones de pedidos, extractos de cuenta. En nuestra opinión, la capacidad de copiar el correo de la empresa merece el mismo escrutinio que el acceso al sistema contable, porque la factura y la solicitud de cambio de datos bancarios viajan por correo electrónico antes de llegar al sistema.

Leemos este fallo para los empresarios saudíes de dos maneras. Primero, los propios equipos de seguridad se han convertido en un objetivo recurrente, así que el dispositivo que compró para proteger su correo necesita a alguien que siga sus alertas y lo actualice como cualquier otro sistema. Segundo, la mejor respuesta a la correspondencia robada no es solo técnica: una regla de verificación telefónica en finanzas frustra el fraude basado en correo robado, aunque la intrusión nunca se descubra.

Conclusiones

  • Si su empresa usa FortiMail, averigüe hoy su versión y actualice a 8.0.2, 7.6.7, 7.4.9 o posterior, y pase la rama 7.2 a 7.4 o posterior.
  • Hasta la actualización: desactive IBE o bloquee el acceso desde internet a la interfaz de webmail.
  • Revise las cuentas y políticas de archivo, busque las dos direcciones publicadas y guarde los registros antes de parchear.
  • Diga hoy a finanzas: ningún cambio en la cuenta bancaria de un proveedor sin verificación telefónica en un número conocido y un segundo aprobador.
  • Si los mensajes copiados contenían datos personales y la violación puede dañar a las personas afectadas o entrar en conflicto con sus derechos o intereses, el plazo para notificar a la autoridad competente es de 72 horas desde que se tiene conocimiento del incidente.

Fuentes