Fortinet ha publicado una actualización de seguridad urgente para corregir una vulnerabilidad crítica en su cortafuegos de aplicaciones web FortiWeb, que ya estaba siendo explotada en entornos reales. El fallo permite la ejecución remota de comandos administrativos sin autenticación y afecta a múltiples versiones de las ramas 7.x y 8.x del producto.

La vulnerabilidad ha sido identificada como CVE-2025-64446 y ha recibido una puntuación de severidad CVSS de 9.8, lo que la sitúa dentro del nivel más alto de criticidad.

PoC: https://github.com/moften/CVE-2025-59718-Fortinet-Poc

¿En qué consiste la vulnerabilidad?

CVE-2025-64446 es el resultado de una combinación de dos fallos:

• Un problema de recorrido de ruta relativa (path traversal).
• Un mecanismo de autenticación insuficiente en la interfaz de gestión.

Mediante el envío de peticiones HTTP o HTTPS especialmente manipuladas, un atacante no autenticado puede evadir los controles de acceso del dispositivo y ejecutar comandos administrativos directamente sobre el sistema FortiWeb.

Esto implica que un atacante podría:

• Tomar control completo del dispositivo.
• Modificar reglas de seguridad.
• Desactivar protecciones.
• Utilizar FortiWeb como punto de entrada para comprometer otros sistemas internos.

Versiones afectadas

Fortinet ha confirmado que la vulnerabilidad afecta a las siguientes versiones:

• FortiWeb 8.0.0 a 8.0.1
• FortiWeb 7.6.0 a 7.6.4
• FortiWeb 7.4.0 a 7.4.9
• FortiWeb 7.2.0 a 7.2.11
• FortiWeb 7.0.0 a 7.0.11

Todas estas versiones son vulnerables si la interfaz de gestión está expuesta a Internet.

Mitigación

Fortinet ha publicado versiones parcheadas que corrigen el problema:

• FortiWeb 8.0.2 o superior
• FortiWeb 7.6.5 o superior
• FortiWeb 7.4.10 o superior
• FortiWeb 7.2.12 o superior
• FortiWeb 7.0.12 o superior

Se recomienda actualizar inmediatamente todos los dispositivos afectados.

Como medida temporal mientras se aplica el parche, Fortinet recomienda:

• Deshabilitar el acceso HTTP/HTTPS a la consola de gestión desde Internet.
• Restringir el acceso a la interfaz de administración mediante listas de control de acceso o VPN.
• Monitorizar los logs del sistema en busca de actividad anómala.

Este tipo de vulnerabilidades en dispositivos de seguridad perimetral son especialmente críticas porque convierten una herramienta defensiva en un punto de entrada para el atacante. Además, suelen ser objetivos prioritarios para grupos criminales y actores patrocinados por estados debido a su alta exposición y valor estratégico.

La explotación activa de este fallo refuerza la necesidad de mantener una política estricta de gestión de parches y de minimizar la exposición de interfaces administrativas en dispositivos críticos.