Si su empresa usa un firewall FortiGate, actualice ahora su software FortiOS a 8.0.2, 7.6.8, 7.4.13 o 7.2.14, según la rama que ejecute. El 21 de octubre de 2026 Fortinet anunció que estas versiones, disponibles desde el 22 de octubre, corrigen fallas críticas y de gravedad alta que encontró con ayuda de modelos de IA de frontera, y que publicará los detalles el 10 de noviembre. Después de esa fecha, cualquier atacante sabrá dónde buscar, y los equipos sin actualizar se convertirán en blancos fáciles. La actualización suele requerir una breve ventana de mantenimiento; aplazarla es el verdadero riesgo.

¿Qué anunció Fortinet exactamente?

Carl Windsor, director de seguridad de la información de Fortinet, publicó un aviso oficial titulado «Fortinet Releases Security Hardening Release for Multiple Products». Indica que las correcciones provienen de un programa de pruebas de seguridad que usa IA de frontera, realizado con Anthropic, OpenAI, Google y SpaceX, es decir, 4 organizaciones externas. Fortinet aún no ha publicado los números CVE ni sus puntuaciones; aparecerán en sus avisos PSIRT el 10 de noviembre. A principios de este mes escribimos sobre una falla de FortiMail explotada; esta publicación es más amplia, porque abarca el propio firewall.

¿Por qué no esperar al 10 de noviembre?

Fortinet da la razón ella misma: las herramientas de IA ahora ayudan a los atacantes a comparar la versión antigua con la nueva, deducir la falla a partir de la diferencia y construir un exploit funcional en horas o días en lugar de semanas. Publicar una corrección revela parte del secreto, así que los 19 días entre el 22 de octubre y el 10 de noviembre no son un periodo de gracia seguro: son una carrera. Fortinet añade que la IA también puede encadenar fallas de menor gravedad hasta volverlas explotables.

Las empresas más expuestas son aquellas cuyo personal trabaja a distancia mediante una VPN en un FortiGate, las que conectan sucursales y almacenes con la sede a través de él y las que administran sus equipos por internet desde fuera de la oficina. En estos casos el equipo es visible para cualquiera en internet, y es lo primero que un atacante probará cuando salgan los detalles. Si un proveedor externo gestiona su equipo, no dé por hecho que lo ha actualizado: pida una confirmación por escrito del nuevo número de versión y de la fecha de actualización.

¿Qué versiones necesita?

  • FortiOS (el sistema operativo de FortiGate): 8.0.2 para la rama 8.0, 7.6.8 para la 7.6, 7.4.13 para la 7.4 y 7.2.14 para la 7.2, o cualquier versión más reciente.
  • FortiManager y FortiAnalyzer (gestión centralizada y registros): 8.0.2, 7.6.8, 7.4.12 y 7.2.13 o posteriores.
  • FortiMail (pasarela de correo): 8.0.2, 7.6.7 y 7.4.9; la rama 7.2 debe pasar a 7.4 o posterior.
  • FortiAuthenticator (identidad): 8.0.4 y 6.6.11 o posteriores.

Si su equipo ejecuta una rama que no está en esta lista, pregunte a su proveedor si esa rama sigue recibiendo actualizaciones de seguridad. Si no es así, el equipo necesita una actualización mayor.

Cinco pasos que debe pedir a su equipo de TI esta semana

  1. Inventario: una lista de cada FortiGate y FortiManager en la sede y las sucursales, con la versión que ejecuta cada uno.
  2. Primero los equipos expuestos a internet: el firewall que recibe las conexiones VPN del personal o enlaza sus sucursales se actualiza primero, como recomienda Fortinet.
  3. Respalde la configuración antes de actualizar: para poder volver atrás si algo falla.
  4. Siga la ruta de actualización correcta: saltar entre versiones lejanas puede requerir pasos intermedios, y la herramienta oficial de rutas de actualización de Fortinet los indica.
  5. Revise los registros: busque cualquier inicio de sesión administrativo inusual en el equipo; el anuncio lo recomienda de forma explícita.

Si no puede actualizar de inmediato

Como medida provisional, Fortinet recomienda restringir las interfaces de administración (HTTPS y SSH) a direcciones IP de confianza, desactivar la administración en la interfaz expuesta a internet, usar contraseñas robustas y únicas para cada cuenta de administrador y exigir autenticación multifactor a todos los administradores. Estas medidas reducen el riesgo sin eliminarlo; son un puente hacia la actualización, no un sustituto.

Es mejor fijar ahora la fecha de la actualización que esperar un momento oportuno que nunca llega: elija la tarde de un día laborable o un fin de semana, avise con antelación al personal y a las sucursales de un posible corte breve y pida después al equipo un informe breve que enumere cada equipo y su nuevo número de versión. Así tendrá un registro claro al que volver cuando se publique la próxima actualización crítica.

La visión de Origami

El firewall es la puerta de su empresa a internet, y la mayoría de las empresas lo compran y luego lo olvidan durante años. Lo que está cambiando es que los atacantes tienen ahora las mismas herramientas de IA que encuentran las fallas, así que el intervalo entre la publicación de una corrección y la explotación de la falla se reduce cada vez más. Por eso creemos que toda empresa necesita una política escrita: quién actualiza el equipo, en cuántos días tras una corrección crítica y quién comprueba que se hizo. Si quiere que revisemos su red o sus sistemas expuestos a internet, contáctenos.

Fuentes