En un rápido movimiento que tomó por sorpresa a la comunidad de ciberseguridad, Fortinet tomó la decisión poco habitual de desactivar temporalmente el inicio de sesión único (SSO) de FortiCloud debido a la explotación activa de una vulnerabilidad de día cero. Esta amenaza, identificada como FG-IR-26-060 y registrada como CVE-2026-24858, expone una preocupante realidad sobre la infraestructura cloud: el SSO, diseñado para simplificar la autenticación, se ha convertido en una crítica puerta de acceso para posibles atacantes.
La vulnerabilidad permitía que atacantes con acceso a una cuenta de FortiCloud y un dispositivo registrado pudieran iniciar sesión en dispositivos de otras cuentas cuando el SSO estaba habilitado. Este tipo de fallo, una omisión de autenticación por ruta o canal alternativo, es particularmente inquietante en entornos donde la administración de infraestructura depende de accesos centralizados y se corre el riesgo de facilitar un acceso casi indiscriminado a un potencial intruso.
No se trata de un error aislado. Fortinet señaló las similitudes de este incidente con una serie de vulnerabilidades críticas detectadas en diciembre de 2025, indicando no solo patrones similares de bypass SSO, sino una peligrosa capacidad de explotación incluso en equipos actualizados a las versiones más recientes.
Fortinet clarificó rápidamente el ámbito de la vulnerabilidad, asegurando que afectaba específicamente al SSO de FortiCloud y no a sistemas SAML de terceros o a FortiAuthenticator, acotando los potenciales riesgos en infraestructuras con identidad federada.
El fabricante actuó con premura: el 22 de enero de 2026 se desactivaron cuentas implicadas en los ataques. El 26 de enero, FortiCloud SSO fue desactivado para contener el abuso, y al día siguiente, se restauró el servicio con una nueva política restrictiva que impide iniciar sesión desde dispositivos con versiones vulnerables, obligando a las organizaciones a actualizar para mantener las operaciones.
La respuesta rápida estuvo acompañada por una alerta de la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), que asignó una fecha límite de remediación al 30 de enero de 2026 para organismos federales, resumiendo la urgencia del problema.
Los equipos de TI tienen la tarea monumental de identificar y mitigar la vulnerabilidad en un ecosistema amplio. Las recomendaciones son claras: eliminar el riesgo del SSO de FortiCloud temporalmente, actualizar los sistemas y verificar las cuentas administrativas para prevenir accesos no autorizados. Además, implementar restricciones operativas adicionales reforzará las defensas mientras se completa la remediación.
Este caso resalta la importancia de tratar la identidad cloud como infraestructura crítica. La comodidad del SSO en la nube, aunque bienvenida por su facilidad de uso, puede ser un talón de Aquiles, cuyos riesgos se magnifican cuando un bypass expone a las organizaciones a ataques sistémicos. La lección es clara: la infraestructura de autenticación no puede ser el eslabón débil, y las operaciones deben diseñarse para sobrevivir a la desconexión temporal de estos sistemas inevitables.
Más información y referencias en Noticias Cloud.
