Els tres crítics de FortiOS entren per on el teu tallafoc ja confiava

El 10 de novembre Fortinet va publicar 46 avisos de seguretat. Vuit estan marcats com a crítics i vuit toquen FortiOS; en aquesta intersecció n'hi ha tres. Tots tres demanen el mateix per funcionar: que qui ataqui sigui on l'aparell ja confiava. Al segment on es parla OSPF, a la cadira del veí iBGP, o al canal pel qual dos membres d'un clúster se sincronitzen. Cap dels tres passa pel portal de la VPN ni per la interfície d'administració, que és on gairebé tothom mira.

Un tallafoc fa més coses de les que caben al seu nom. Filtra, sí, i aquesta part és a l'inventari de risc, s'audita i surt a la memòria de compliment. Però a més decideix per on surt el trànsit, parla amb els seus iguals i se sincronitza amb la seva parella. Tota aquesta maquinària funciona a base de confiança concedida per endavant, gairebé sempre per algú que ja no treballa aquí, i és on van els tres pedaços dels quals val la pena parlar.

El que va primer: alta disponibilitat

FG-IR-26-273 / CVE-2026-126259, CVSS 9,0. Ho diu l'avís: «A missing authentication for critical function vulnerability [cwe-306] in FortiOS may allow an unauthenticated attacker with HA FGSP + standalone-config-sync, or autoscale to execute command as super admin via crafted HA packets». Sense credencials, amb permisos de super administrador, enviant paquets al canal de sincronització. El vector és AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H i aquest C:H és el que el posa davant dels altres dos: aquí sí que es llegeix tot. Afecta 8.0.0, 7.6.0–7.6.7, 7.4.0–7.4.12, 7.2.0–7.2.13 i tota la branca 7.0; es corregeix a 8.0.1, 7.6.8, 7.4.13 i 7.2.14; per a la 7.0, com al d'OSPF, l'avís no publica build corregida i mana migrar. Fixa't en el detall de la branca 8.0, perquè és fàcil ensopegar-hi: aquí n'hi ha prou amb la 8.0.1, però els dos d'encaminament demanen la 8.0.2.

Hi ha una tensió en aquest avís que convé assenyalar en lloc de tapar-la. El títol que hi posa Fortinet és «Unauthenticated adjacent command execution via HA», és a dir adjacent, però el vector publicat diu AV:N, xarxa. Una cosa significa que cal ser al mateix segment i l'altra que val qualsevol lloc des d'on arribi un paquet. Fortinet no resol la contradicció i nosaltres no triarem per ells; el que fem mentrestant és planificar per la lectura dolenta, que és la del vector. La condició que sí que és clara és l'altra: cal FGSP amb sincronització de configuració activada, o desplegament en autoescalat. Això és una condició de configuració explícita, i marca la diferència amb els altres dos avisos, que no en publiquen cap.

Els altres dos no llegeixen res: canvien el mapa

FG-IR-26-267 / CVE-2026-126253, CVSS 9,3, al dimoni d'OSPF de FortiOS i FortiSASE: «may allow an unauthenticated attacker to broadcast LSA via specially crafted request». Un LSA és l'anunci amb què un encaminador explica als altres quines xarxes abasta, així que difondre LSA falsos és reescriure el mapa que fan servir els veïns. Vector AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:H, classificat CWE-305. Afecta 8.0.0–8.0.1, 7.6.0–7.6.7, 7.4.0–7.4.12, 7.2.0–7.2.13 i 7.0.1–7.0.19, i es corregeix a 8.0.2, 7.6.8, 7.4.13 i 7.2.14; per a la branca 7.0 l'avís no publica build corregida, diu «Migrate to a fixed release».

FG-IR-26-268 / CVE-2026-126254, CVSS 9,6, un error de truncament numèric (CWE-197) al dimoni de BGP: «may allow a configured ibgp neighbor to send malicious/malformed attributes to all connected routers via a specially crafted request». Vector AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H, mateixes branques afectades tret de la 7.0 i mateixes versions de correcció. I aquí hi ha el que comparteixen tots dos i no comparteix el d'alta disponibilitat: porten C:N. Confidencialitat, cap. No llegeixen ni un byte. El que comprometen és la integritat i la disponibilitat; parlant clar, el mapa.

Convé dir què puntua aquell C:N i què no. Puntua l'error, no el que vingui després. Desviar trànsit cap a una màquina que el llegeixi és la jugada clàssica, i és perfectament possible encadenar-la; el que passa és que el robatori el fa aleshores una altra cosa, amb una altra puntuació. Per al que ens ocupa avui —decidir a quina hora es toca què— continua sent útil: aquests dos no s'enduen res per si sols, i per això no deixaran cap rastre al lloc on el buscaries.

«PR:L» aquí descriu un veí, no una credencial

Al full on es prioritzen pedaços, PR:L es llegeix sempre igual: «cal un compte, baixa el risc». Al de BGP el requisit no és un compte, és ser a la llista de veïns configurats. Matisem abans que ens corregeixin: una sessió iBGP a FortiOS admet contrasenya TCP-MD5, així que credencials n'hi pot haver; el que descriu la mètrica no és això, sinó la posició. CVSS no té casella per a «parell de confiança d'un protocol d'encaminament», ho codifica com a privilegi baix, i al full de càlcul acaba semblant un obstacle per a l'atacant quan és una decisió d'arquitectura que vas prendre tu.

Abans de tancar la pestanya amb un «jo no tinc BGP», mira com vas muntar l'SD-WAN. Al desplegament amb fabric overlay que documenta el mateix fabricant, el hub i les delegacions van al mateix número de sistema autònom: a l'exemple publicat es veu un local AS number 65400 i els quatre veïns també a 65400. Mateix AS és iBGP. Cada delegació d'una SD-WAN muntada segons el manual és, literalment, «a configured ibgp neighbor». L'encaminador de la botiga de Girona deixa de ser un detall de la xarxa i passa a ser un parell de confiança del tallafoc central, amb tot el que això arrossega si un dia algú es posa a dins. Si la teva reserva a més era un mòdem de la generació anterior, ja saps què passa quan el trànsit se'n va per on no toca.

S:C: el dany no surt a l'aparell que pedaces

Els dos vectors d'encaminament porten S:C, abast canviat: en CVSS significa que l'impacte arriba més enllà de l'àmbit de seguretat que governa el component vulnerable. L'avís de BGP ho diu sense mètriques, en una línia: «to all connected routers». La conseqüència operativa és incòmoda. El FortiGate continua dret, amb la CPU normal, els túnels amunt i el tauler en verd, mentre el que es mou és a la taula de rutes dels veïns: un prefix que apareix on no era, una mètrica que canvia, trànsit que surt per l'enllaç de reserva, un destí inabastable durant quaranta segons sense que ningú sàpiga dir per què.

La pregunta que deixa això damunt la taula no és quina versió tens, que es contesta en un minut. És si tens una alerta que salti quan canvia una ruta. Caigudes d'interfície les vigila tothom; ús de CPU, també. Un canvi a la taula de rutes no dispara res a gairebé cap monitoratge que ens hàgim trobat, i és l'únic senyal que produiria qualsevol dels dos. Ho vam escriure fa vuit dies a propòsit d'un altre aparell de xarxa: aplicar el pedaç i deixar d'estar exposat no són la mateixa data. Aquí és pitjor, perquè entre les dues dates no hi ha ni un registre per mirar.

El que hi ha mentre no actualitzes

Els tres avisos porten un camp que es llegeix poc i que aquí separa els tres. El de BGP i el d'alta disponibilitat tenen pedaç virtual: FG-VD-62507.0day, disponible a l'actualització de base de dades FMWP 26.118, per al primer, i FG-VD-61445.0day per al segon. El d'OSPF diu Virtual Patch: No, i tampoc no porta secció de solucions temporals. Convé entendre què és això abans de respirar tranquil: un pedaç virtual és una signatura que reconeix l'atac i el talla en passar, no una correcció de l'error. Serveix si el trànsit travessa un punt on aquesta inspecció és activa i la subscripció al dia. L'equip continua sent vulnerable; el que guanya és temps fins a la finestra d'actualització, que acostuma a ser just el que cal.

Per al d'OSPF no hi ha ni això, i el perquè probablement sigui a la seva classificació: CWE-305 és un salt d'autenticació, de manera que la contramesura de manual —posar clau d'àrea o d'interfície— és la capa que l'error posa en qüestió. Fins aquí arribem; Fortinet no detalla quina part del control se salta i no ho deduirem per ells. Autenticar les adjacències continua sent el que cal fer, entre altres coses pel portàtil que algú endolla a la VLAN equivocada, però no ho venem com a blindatge contra aquest CVE perquè ningú no ha publicat que ho sigui. Quan no hi ha contramesura clara, la palanca que queda és l'abast: AV:A, cal ser al segment on es parla OSPF.

I qui és en aquell segment? La llista honesta d'una xarxa que ha crescut per capes inclou gairebé sempre alguna d'aquestes: la VLAN de trànsit compartida amb l'equip de l'operador, el segment on viu un appliance d'un tercer instal·lat amb pressa, l'enllaç amb un partner muntat per a un projecte que ja ha acabat, un hipervisor amb una màquina virtual que hi té una pota, o el punt d'interconnexió d'un centre de dades compartit. OSPF no es configura per qui ets, sinó per a quines interfícies escolto. Una interfície de més és un veí de més.

Quan això NO et corre pressa

Si el teu FortiGate té quatre rutes estàtiques i una per defecte cap a l'operador, i la parella d'alta disponibilitat —si n'hi ha— és la clàssica, els tres crítics de FortiOS poden esperar a la finestra de manteniment normal. Dir-ho ens treu feina facturable i és la veritat: la majoria de les pimes que veiem no parla cap protocol d'encaminament dinàmic i no ho necessitarà mai. La comprovació són cinc minuts i cinc ordres que no modifiquen res: show router ospf i show router bgp diuen si hi ha configuració; get router info ospf neighbor i get router info bgp summary, si a més hi ha algú parlant a l'altre costat; i show system standalone-cluster, juntament amb el standalone-config-sync de show system ha, cobreix la condició del tercer.

Dues cauteles perquè aquest «no va amb mi» sigui honest. La primera: els dos avisos d'encaminament no publiquen condició de configuració explícita —parlen del dimoni—, així que la configuració es comprova, no es suposa. La suposició que més vegades hem vist fallar és «aquí ningú no ha tocat l'encaminament». La segona: si l'equip té diversos VDOM, la configuració d'encaminament és de cada VDOM i cal mirar-los tots, inclòs el que va muntar un proveïdor anterior i ningú no obre; i en un clúster, els dos membres.

La resta del lot i l'ordre que seguim

Dels 46 avisos, 38 no llisten FortiOS: són gairebé tots de FortiManager i FortiAnalyzer, i allà hi ha els altres cinc crítics, entre ells CVE-2026-126261 (CVSS 9,0, autorització indeguda a FGFM abans de la verificació de contrasenya, «execute code or commands via crafted FGFM packets» per a qui abasti aquest port), CVE-2026-126260 (SSRF sense autenticar) i CVE-2026-126262 (injecció SQL). Aquesta és la part que ha ocupat els titulars, i amb motiu: abastar el port FGFM d'un FortiManager és, a gairebé qualsevol xarxa, més fàcil que entrar en un segment OSPF.

Amb això al davant, l'ordre que seguim quan cau una tongada així té quatre passos, i el primer no és pedaçar. U: treure del FortiManager, que per això hi és, quina versió corre cada equip, quins parlen OSPF o BGP i quins tenen FGSP o autoescalat. Dos: els que compleixin la condició del CVE-2026-126259, perquè és l'únic de FortiOS que, sense demanar credencials, acaba en super admin. Tres: el pla de gestió, amb la pregunta incòmoda de qui abasta el port FGFM, que a massa xarxes és «qualsevol que sigui a dins». Quatre: els FortiGate que parlen protocols d'encaminament, començant pels que tenen veïns que no controles, i la resta a la finestra normal.

Una nota de fet per dimensionar la pressa, amb el seu matís. Cap dels vuit crítics no apareix al catàleg KEV de CISA: ho hem comprovat avui contra el fitxer del catàleg, 1.779 entrades, zero coincidències per als vuit CVE. El matís és que la versió que serveix CISA avui és la 2026.11.10, del mateix dia del lot, de manera que el que aquest zero diu de debò és «encara no», no «mai». Fortinet, per la seva banda, marca els tres de FortiOS com a no explotats. Això no dona sis mesos; dona la diferència entre aquesta nit i la propera finestra.

El que no arregla un número de versió

D'aquí a un mes hi haurà una altra tongada i aquests tres llocs continuaran sent els mateixos llocs. El que canvia d'una xarxa a una altra és quant mal pot fer un veí que un dia es porta malament, i això depèn de quatre decisions de disseny que es prenen un cop: escoltar OSPF només a les interfícies on cal; autenticar les adjacències, per tota la resta; filtrar els prefixos que entren dels veïns que no són teus, perquè una taula de rutes aliena no pugui reescriure la teva sencera; i treure el canal de sincronització i el pla de gestió de la xarxa per on passa el trànsit dels usuaris.

El cas que ens trobem més sovint no és una xarxa mal feta. És una xarxa que va créixer per capes —una seu, després dues, després el centre de dades, després l'operador nou— i on avui ningú no és capaç de dibuixar en una pissarra qui anuncia rutes a qui. Aquest dibuix és la meitat de la feina i és el primer que fem quan entrem en una xarxa corporativa que ja existeix: el mapa real d'adjacències, quin veí és de qui, què entra sense filtrar, quina interfície escolta sense motiu i per on viatja el batec del clúster. Les versions venen després, i van molt més ràpid quan aquest mapa està fet. Amb una SD-WAN sobre túnels el dibuix és encara més necessari, perquè cada delegació hi afegeix un parell de confiança més.

Fonts (verificades el 13-nov-2026, 18:00 CET). Llistat PSIRT de Fortinet, recorregut pàgina a pàgina: 46 avisos amb data 10-nov-2026, dels quals vuit crítics (FG-IR-26-267, -268, -273, -219, -244, -274, -275 i -276) i vuit que llisten FortiOS (-267, -268, -269, -270, -272, -273, -193 i -195). FG-IR-26-273 (CVE-2026-126259): títol, CVSS 9,0, vector, CWE-306, la cita literal, versions afectades i corregides i el pedaç virtual FG-VD-61445.0day. FG-IR-26-267 (CVE-2026-126253): CVSS 9,3, vector, CWE-305, la cita, les versions, el «Migrate to a fixed release» de la branca 7.0, «Virtual Patch: No» i «Known Exploited: No». FG-IR-26-268 (CVE-2026-126254): CVSS 9,6, vector, CWE-197, la cita literal completa i el pedaç virtual FG-VD-62507.0day a FMWP 26.118. FG-IR-26-275 (CVE-2026-126261, 9,0): FGFM i la seva cita. L'iBGP del disseny de referència surt de la documentació de Fortinet, «Verifying BGP routing on the hub» (AS 65400 local i els quatre veïns al mateix AS). get router info ospf neighbor i get router info bgp summary són al full de resolució de problemes de la CLI; show router ospf, show router bgp, show system standalone-cluster i show system ha són la visualització de les seccions de configuració corresponents (config system standalone-cluster, on es configura FGSP; standalone-config-sync va sota config system ha). KEV comprovat sobre el fitxer JSON del catàleg de CISA, versió 2026.11.10, 1.779 entrades. Nostre és l'enquadrament —els tres crítics de FortiOS demanen ser on l'aparell ja confiava—, la lectura del C:N i del que no puntua, la prova que el disseny de referència d'SD-WAN converteix cada delegació en veí iBGP, el forat de monitoratge dels canvis de ruta i l'ordre de quatre passos. La lectura d'S:C i de PR:L com a posició i no com a credencial l'han publicada també altres anàlisis del mateix lot. Nota honesta: l'avís de l'error d'HA es titula «adjacent» i el seu vector diu AV:N; planifiquem pel vector.