Fortinet ha confirmado oficialmente que está trabajando para parchear completamente una vulnerabilidad de omisión de autenticación SSO en FortiCloud después de informar una nueva actividad de explotación en firewalls completamente parcheados.
“En las últimas 24 horas, hemos identificado una serie de casos en los que el exploit afectó a un dispositivo que estaba completamente actualizado a la última versión en el momento del ataque, lo que indica una nueva ruta de ataque”, dijo el director de seguridad de la información (CISO) de Fortinet, Carl Windsor, en una publicación el jueves.
La actividad es esencialmente una evasión de parches introducidos por el proveedor de seguridad de red para abordar CVE-2025-59718 y CVE-2025-59719. Esto podría permitir eludir la autenticación de inicio de sesión SSO no autenticado a través de mensajes SAML diseñados cuando la función FortiCloud SSO está habilitada en los dispositivos afectados. Los problemas fueron solucionados originalmente por Fortinet el mes pasado.
Sin embargo, a principios de esta semana surgieron informes de una actividad renovada que registraba inicios de sesión SSO maliciosos en dispositivos FortiGate contra la cuenta de administrador en dispositivos parcheados contra las dos vulnerabilidades. La actividad es similar a los incidentes observados en diciembre, poco después de la divulgación de CVE-2025-59718 y CVE-2025-59719.
La actividad incluye la creación de cuentas genéricas para la persistencia, realizar cambios de configuración para otorgar acceso VPN a estas cuentas y filtrar configuraciones de firewall a diferentes direcciones IP. Se ha observado que el actor de amenazas inicia sesión con las cuentas “cloud-noc@mail.io” y “cloud-init@mail.io”.
Como medidas reparadoras, la empresa solicita las siguientes medidas:
- Restrinja el acceso administrativo a los dispositivos de red perimetrales a través de Internet aplicando una política de entrada local
- Deshabilite los inicios de sesión de SSO de FortiCloud deshabilitando admin-forticloud-sso-login.
“Es importante señalar que, si bien en este momento solo se ha observado una explotación de FortiCloud SSO, este problema se aplica a todas las implementaciones de SAML SSO”, dijo Fortinet.
About The Author
