En las últimas horas se ha confirmado la explotación masiva de un 0-day crítico que afecta a FortiWeb (auth bypass + path traversal) y que permite la creación de usuarios administradores sin pasar por la autenticación. El impacto es severo: múltiples dispositivos en la región, incluyendo varios en Chile, continúan vulnerables y, en muchos casos, es altamente probable que ya estén comprometidos.
El escenario es especialmente delicado porque existen PoCs públicas, se han registrado señales de explotación temprana desde octubre de 2025 y aún no existe un CVE asignado ni una comunicación oficial por parte del fabricante. Si tu interfaz de administración está expuesta a Internet y operas una versión igual o inferior a la 8.0.1, debes asumir compromiso e iniciar acciones inmediatas.
Desde nuestro monitoreo continuo, hemos identificado actividad maliciosa que aprovecha este vector, incluyendo requests dirigidos al endpoint vulnerable “/api/v2.0/cmdb/system/admin?/../../../../../cgi-bin/fwbcgi”, lo que confirma la magnitud del riesgo y la urgencia de mitigación.
La recomendación prioritaria es actualizar de inmediato a FortiWeb 8.0.2 o superior, restringir el acceso a la consola de administración, revisar logs asociados a creación de usuarios y activity hacia el endpoint afectado, y validar la integridad del dispositivo para descartar persistencia o alteraciones. En caso de cualquier indicio, se debe activar un proceso formal de respuesta a incidente.
La alta adopción de tecnología Fortinet en la región, con más de cinco mil implementaciones en México, cerca de cinco mil en Brasil, más de tres mil en Chile, más de dos mil en Argentina y más de mil seiscientas en Colombia, amplifica el potencial de impacto y exige vigilancia activa.
Desde CronUp Ciberseguridad, y a través de nuestro enfoque ATRc® de Alerta Temprana de Riesgos Cibernéticos, combinamos inteligencia de amenazas, monitoreo de superficie de ataque y capacidades de DFIR para anticipar, detectar y responder ante explotación de vulnerabilidades críticas como esta. Si necesitas validar si tu organización fue impactada o deseas apoyo en análisis de compromiso, hunting o respuesta a incidente, nuestro equipo está disponible para ayudarte a contener el riesgo y restaurar la resiliencia operativa.
Anticipamos. Detectamos. Respondemos.
Referencias:
- https://www.bleepingcomputer.com/news/security/fortiweb-flaw-with-public-poc-actively-
exploited-to-create-admin-users/ - https://www.rapid7.com/blog/post/etr-critical-vulnerability-in-fortinet-fortiweb-exploited-in-the-
wild/ - https://www.pwndefend.com/2025/11/13/suspected-fortinet-zero-day-exploited-in-the-wild/
- https://thehackernews.com/2025/11/fortinet-fortiweb-flaw-actively.html
- https://x.com/watchtowrcyber/status/1989017336632996337
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
