CVE-2025-61624: Path Traversal en múltiples productos Fortinet
CVE-2025-61624: explotación activa de Path Traversal en productos Fortinet
CISA incorporó CVE-2025-61624 a su catálogo Known Exploited Vulnerabilities (KEV) el 16 de octubre de 2026, confirmando que la vulnerabilidad está siendo explotada activamente. La falla afecta a FortiOS, FortiPAM, FortiProxy y FortiSwitchManager y tiene una puntuación CVSS 6.0 (severidad media). Aunque la puntuación no es crítica, su inclusión en KEV cambia la prioridad: existe evidencia de explotación real y las organizaciones deben tratarla como una vulnerabilidad urgente.
La fecha límite establecida por CISA para los organismos civiles federales de Estados Unidos es el 19 de octubre de 2026. Para el resto de las organizaciones, esa fecha constituye una referencia operativa útil, pero la remediación debería comenzar de inmediato en activos expuestos o de alta criticidad.
Análisis Técnico
Vector de Ataque
CVE-2025-61624 corresponde a una vulnerabilidad de Path Traversal, clasificada como CWE-22. Este tipo de falla ocurre cuando una aplicación no restringe correctamente las rutas utilizadas para acceder al sistema de archivos. En este caso, un atacante autenticado puede abusar de comandos específicos de la interfaz de línea de comandos para escribir o eliminar archivos arbitrarios.
La explotación requiere una cuenta autenticada con perfil de administrador y, al menos, permisos de lectura y escritura. Esto limita el acceso inicial, pero no elimina el riesgo: una credencial administrativa comprometida, una cuenta interna abusada o un acceso delegado con privilegios excesivos pueden convertir la vulnerabilidad en una vía para alterar archivos fuera de las ubicaciones previstas por el producto.
La descripción pública entregada por CISA no especifica los comandos concretos ni una cadena de explotación. Por seguridad y rigor, no se infieren detalles que no estén publicados por las fuentes oficiales. El aspecto confirmado es que el control insuficiente de rutas permite escapar del contexto de archivo esperado mediante operaciones CLI autorizadas.
Impacto Operacional y de Seguridad
La capacidad de escribir o borrar archivos arbitrarios puede afectar la integridad, disponibilidad y confiabilidad del dispositivo. Dependiendo del archivo alcanzado y de las protecciones internas de cada versión, un atacante podría provocar interrupciones operacionales, alterar configuraciones, eliminar evidencia, modificar componentes utilizados por servicios o preparar persistencia.
- Integridad: modificación no autorizada de archivos y configuraciones.
- Disponibilidad: eliminación de archivos necesarios para el funcionamiento del equipo o de servicios asociados.
- Persistencia y evasión: posible manipulación de artefactos locales o eliminación de registros, sujeta a los permisos y controles del producto.
- Riesgo de movimiento posterior: un dispositivo de seguridad comprometido puede facilitar nuevas acciones dentro de la red.
CISA indica que el uso de esta vulnerabilidad en campañas de ransomware es desconocido. Esto no significa que el riesgo sea teórico: su presencia en KEV confirma explotación activa, aunque no se haya atribuido públicamente a ransomware.
Productos Afectados
El aviso abarca las siguientes familias de Fortinet:
- FortiOS
- FortiPAM
- FortiProxy
- FortiSwitchManager
Las versiones exactas afectadas y las versiones corregidas deben validarse en el aviso oficial FG-IR-26-122 de Fortinet, ya que la matriz del fabricante es la referencia autoritativa para cada rama soportada. No se deben asumir versiones a partir de similitudes entre productos.
Recomendaciones y Mitigación
Acciones Inmediatas Recomendadas
- Inventariar todas las instancias de FortiOS, FortiPAM, FortiProxy y FortiSwitchManager, incluyendo equipos administrados por terceros.
- Comparar cada versión con la matriz publicada por Fortinet en FG-IR-26-122 y aplicar las actualizaciones o mitigaciones indicadas por el fabricante.
- Priorizar activos expuestos a Internet, dispositivos perimetrales y sistemas que administren credenciales o segmentos críticos.
- Revisar cuentas administrativas, reducir privilegios innecesarios, rotar credenciales sospechosas y exigir autenticación multifactor cuando esté disponible.
- Auditar operaciones CLI y cambios de archivos alrededor de dispositivos afectados. Buscar eliminaciones, escrituras o modificaciones no explicadas, así como accesos administrativos desde ubicaciones o direcciones IP inusuales.
- Conservar evidencia antes de realizar cambios cuando existan señales de compromiso y seguir los requisitos de triaje forense de CISA.
- Si no existe una mitigación disponible, retirar temporalmente el producto o aislarlo según el riesgo, tal como exige la orientación de CISA para vulnerabilidades KEV.
Las organizaciones sujetas a la directiva BOD 26-04 deben evaluar la exposición de cada activo y cumplir sus plazos de actualización basados en riesgo. Para servicios en la nube, se debe confirmar con el proveedor la aplicación de las correcciones y seguir la guía específica de CISA.