CVE-2025-61624 en Fortinet: fallo de path traversal ya explotado

CVE-2025-61624 en Fortinet: fallo de path traversal ya explotado

Qué es el CVE-2025-61624 y a quién afectaEl CVE-2025-61624 es una vulnerabilidad de path traversal (CWE-22) que afecta a varios productos de Fortinet....

Qué es el CVE-2025-61624 y a quién afecta

El CVE-2025-61624 es una vulnerabilidad de path traversal (CWE-22) que afecta a varios productos de Fortinet. Según el aviso del fabricante (FG-IR-26-122), el fallo está presente en FortiOS, FortiPAM, FortiProxy y FortiSwitchManager y permite que un atacante autenticado con perfil de administrador y permisos de lectura y escritura, como mínimo, escriba o elimine archivos arbitrarios mediante comandos concretos de la CLI.

Aparatos de seguridad de red en un rack con una ranura abierta por la que se escapan cables hacia el pasillo

La NVD del NIST detalla las ramas afectadas: FortiOS de 6.4.0 a 7.4.10 y de 7.6.0 a 7.6.5; FortiPAM de 1.0.0 a 1.7.1; FortiProxy de 7.0.0 a 7.4.12 y de 7.6.0 a 7.6.5; y FortiSwitchManager de 7.0.0 a 7.0.7 y de 7.2.0 a 7.2.8. El aviso de Siemens añade el firmware del Ruggedcom APE1808 a la lista de productos afectados.

La gravedad asignada es CVSS 3.1 de 6.5 (MEDIUM), con vector CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H. Es decir, el impacto se concentra en la integridad y la disponibilidad: el atacante puede alterar o borrar archivos del sistema, aunque necesita credenciales de administrador para lograrlo.

Esto afecta de lleno a pymes y empresas españolas que tienen firewalls perimetrales, proxys o gestores de acceso privilegiado de Fortinet, algo muy habitual en sedes con infraestructura propia o con un equipo de IT reducido. También a comercios online que protegen su tienda PrestaShop o su WordPress detrás de un FortiGate o un FortiProxy.

Por qué es urgente: ya se explota en ataques reales

El dato clave no es la puntuación CVSS, sino el estado. El CISA añadió el CVE-2025-61624 a su catálogo KEV (Known Exploited Vulnerabilities) el 16 de octubre de 2026, lo que significa que la agencia estadounidense tiene constancia de explotación activa en ataques reales. No es una vulnerabilidad teórica pendiente de un proof of concept: hay atacantes usándola.

El plazo que CISA dio a las agencias federales de EE. UU. para corregirla vencía el 19 de octubre de 2026, apenas tres días después de la inclusión. Ese margen tan corto es una señal clara de la prioridad que se le asigna.

La acción exigida por CISA consiste en aplicar las mitigaciones siguiendo las instrucciones del fabricante, conforme a la directiva BOD 26-04 sobre priorización de actualizaciones de seguridad según el riesgo, y a los requisitos de triaje forense. En el caso de servicios en la nube, la guía aplicable es la misma BOD 26-04, y si no hay mitigación disponible, CISA indica que debe valorarse dejar de usar el producto. Cada organización debe evaluar además la exposición a internet de cada activo.

En el material consultado no consta uso conocido en campañas de ransomware, pero eso no rebaja la urgencia: un atacante con acceso de administrador que puede escribir y borrar archivos arbitrarios tiene margen para manipular configuraciones, borrar registros o dejar el equipo en un estado comprometido.

Qué hacer hoy

  • Inventariar. Comprobar si la empresa usa FortiOS, FortiPAM, FortiProxy o FortiSwitchManager, y en qué versión exacta. Muchas pymes no tienen un censo actualizado de sus appliances perimetrales.
  • Actualizar según el aviso del fabricante. Consultar el aviso FG-IR-26-122 de Fortinet y aplicar la versión corregida o la mitigación que indique. Si el material no detalla una versión concreta de corrección para una rama, hay que guiarse por lo que publique el fabricante y no improvisar.
  • Revisar indicios de intrusión. Dado que el fallo requiere un perfil de administrador, conviene auditar las cuentas con privilegios elevados, revisar accesos recientes y comprobar si se han ejecutado comandos de CLI no previstos o si faltan archivos que deberían estar.
  • Reducir lo expuesto a internet. Limitar la administración de estos equipos a redes internas o VPN, restringir el acceso por IP y eliminar cuentas de administrador que no se usen. Cada panel de administración accesible desde fuera es una puerta más.
  • Aplicar el criterio de CISA. Si no existe mitigación disponible para un activo concreto, valorar su retirada o aislamiento antes que mantenerlo expuesto.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Lleida, Barcelona, Tarragona, Girona y el resto de España que tienen webs en WordPress, PrestaShop o Joomla, servidores propios y un equipo de IT pequeño o externalizado. Nuestro enfoque es detectar y cerrar vulnerabilidades antes de que las exploten, y eso incluye tanto el perímetro como las aplicaciones.

En casos como este, ayudamos a localizar los equipos Fortinet en el inventario, verificar versiones y priorizar las actualizaciones según la exposición real a internet. Complementamos la respuesta con auditorías de seguridad y pentesting, hardening de servidores, monitorización y respuesta a incidentes, mantenimiento y actualización de los CMS y reparación de webs hackeadas. Todo ello con la mirada puesta en el RGPD y la LOPDGDD, porque un incidente de seguridad también es un posible incidente de datos personales.

Si el equipo de IT interno va justo de tiempo, lo habitual es que estas tareas se queden a medias. Por eso conviene fijar un plan: qué activos hay, cuáles están expuestos, qué parches de seguridad faltan y quién responde si algo pasa. El CVE-2025-61624 es un buen recordatorio de que la ventana entre la publicación de un fallo y su explotación puede medirse en días.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.