Alerta crítica: CVE-2026-35616 en FortiClient EMS permite evadir la autenticación y expone más de 2.000 servidores

La amenaza vino rápido y con urgencia: una vulnerabilidad crítica en FortiClient Enterprise Management Server (EMS), identificada como CVE-2026-35616, ha obligado a las autoridades estadounidenses a ordenar medidas inmediatas y ha encendido las alarmas entre equipos de seguridad de todo el mundo. Se trata de una falla que permite, según los investigadores que la descubrieron, eludir por completo los controles de autenticación y autorización mediante solicitudes especialmente diseñadas, lo que abre la puerta a la ejecución de comandos o código sin necesidad de credenciales.

Fortinet reaccionó liberando correcciones de emergencia durante el fin de semana y avisó que la vulnerabilidad es el resultado de una mala configuración en el control de acceso de su API. La compañía alertó además que actores maliciosos ya estaban aprovechando el fallo en ataques activos, y recomendó instalar los hotfixes disponibles para las versiones afectadas —las ramas 7.4.5 y 7.4.6— o actualizar a la versión 7.4.7 cuando ésta esté publicada.

La gravedad del problema llevó a la Cybersecurity and Infrastructure Security Agency (CISA) a incluir la vulnerabilidad en su Catálogo de Vulnerabilidades Conocidas y Explotadas (KEV) y a emitir una orden vinculante para las agencias federales, exigiendo que todas las instancias de FortiClient EMS se aseguren antes de la fecha límite indicada bajo la Binding Operational Directive 22-01. Aunque esa directiva aplica formalmente a entidades del gobierno federal de EE. UU., CISA instó a todas las organizaciones, públicas y privadas, a priorizar la corrección del fallo.

El contexto hace aún más preocupante el escenario: el grupo de vigilancia Shadowserver mantiene un contador público de instancias de FortiClient EMS accesibles desde Internet y, según su panel, hay cerca de 2.000 servidores EMS expuestos, con más de 1.400 direcciones IP localizadas en Estados Unidos y Europa. Ese nivel de exposición público aumenta el riesgo de compromisos masivos, y lo complicado es que no hay una medición pública fiable de cuántas de esas instancias ya han aplicado el parche.

¿Por qué es especialmente delicado un fallo en EMS? Un servidor de gestión de endpoints centraliza políticas, despliegues y controles sobre los clientes FortiClient desplegados en una red. Comprometer ese punto significa poder pivotar, desplegar malware a través de la infraestructura de gestión o deshabilitar controles de seguridad en múltiples equipos simultáneamente. En otras palabras, es un objetivo de alto valor para ataques de espionaje y ransomware.

Fortinet ha pedido a sus clientes que instalen los hotfixes para las versiones afectadas cuanto antes, y que, cuando la versión estable y corregida (7.4.7) esté disponible, la adopten como vía definitiva. Paralelamente, la recomendación de CISA incluye aplicar las mitigaciones del proveedor, considerar la suspensión del producto si no hay mitigaciones posibles y seguir las guías de BOD 22-01 para servicios en la nube. Estas indicaciones no son meramente formales: en la práctica implican modificar la exposición de los servidores, endurecer accesos y revisar auditorías y registros en busca de actividad sospechosa.

Este episodio no es aislado en la historia reciente de Fortinet. En los meses anteriores la compañía publicó parches para otras fallas críticas en sus productos, algunas de las cuales también fueron reportadas como explotadas en entornos reales. Esa recurrencia ha convertido ciertas familias de productos de Fortinet en blancos preferidos para campañas sofisticadas; por ello, cada nueva vulnerabilidad exige una respuesta rápida y coordinada.

Para un responsable de TI o seguridad, la ventana de respuesta es estrecha. Además de aplicar el hotfix oficial o la actualización recomendada, hay medidas prácticas que pueden reducir el riesgo de explotación mientras se completa el parcheo: restringir el acceso al EMS mediante listas de control de acceso y VPNs, mover la consola de gestión fuera de accesos directos desde Internet, activar el registro detallado y la monitorización de conexiones inusuales, y preparar planes de respuesta que incluyan aislamiento de sistemas y verificación de integridad tras la remediación. También es prudente revisar cuentas administrativas, credenciales y claves que puedan haber sido comprometidas y rotarlas cuando proceda.

La dinámica de las vulnerabilidades de gestión centralizada pone de manifiesto que la ciberseguridad moderna no solo es un ejercicio técnico: es una cuestión organizativa. Actualizar software rápidamente, mantener inventarios precisos de activos expuestos, y coordinar comunicación entre equipos de seguridad, operaciones y dirección son tareas críticas para evitar que un solo fallo desemboque en un incidente mayor.

Si gestionas FortiClient EMS, no esperes: verifica la versión de tu servidor, consulta la documentación del fabricante y aplica los hotfixes o la actualización recomendada. Para consultar el aviso oficial de la agencia de ciberseguridad de EE. UU. y entender el marco de cumplimiento, puedes revisar la nota de CISA en el enlace anterior. Para evaluar exposición pública de instancias EMS, el panel de Shadowserver ofrece una vista que, aunque no dice cuántas están parcheadas, muestra la magnitud del despliegue accesible desde Internet. Y para buscar los comunicados y avisos oficiales de Fortinet sobre esta y otras vulnerabilidades, la página de anuncios de seguridad de la compañía es un punto de partida recomendable: Fortinet Product Security Announcements.

En el fondo, la lección es clara: cuando un vector de ataque afecta a la capa de gestión, la rapidez de la respuesta y la higiene operativa marcan la diferencia entre un incidente controlado y una brecha con consecuencias extensas. La invitación de CISA a que el sector privado actúe con la misma urgencia que las agencias federales no es retórica; es la llamada a evitar que una vulnerabilidad explotada en la sombra se convierta en un desastre a la vista de todos.