Pedaçar no és netejar: FortiOS i la barra de més

El 27 de juliol, CISA va afegir al seu catàleg de vulnerabilitats explotades una fallada de FortiOS que gairebé ningú no tenia a la llista, amb una data enganxada: 10 d'agost. CVE-2025-68686 no obre cap porta nova: reobre la que Fortinet es va pensar que tancava l'abril del 2025, i ho fa amb una barra de més a la ruta. Si tens un FortiGate que va estar publicat a Internet amb SSL-VPN entre el 2022 i el 2024, aquest avís no va d'actualitzar. Va d'esbrinar què es va endur algú, i des de quan.

Tot comença en una carpeta d'idiomes

L'abril del 2025, l'equip de seguretat de Fortinet va publicar una cosa que es llegeix estranya el primer cop. Algú que havia entrat en equips FortiGate aprofitant tres vulnerabilitats ja conegudes i ja pedaçades —les dels avisos FG-IR-22-398, FG-IR-23-097 i FG-IR-24-015— deixava enrere un enllaç simbòlic que connectava el sistema de fitxers d'usuari amb el d'arrel, i el deixava justament a la carpeta des d'on el portal SSL-VPN serveix els fitxers d'idioma. Aquesta carpeta és pública: no cal iniciar sessió per demanar un fitxer d'idioma. A partir d'aquí, qualsevol que sabés la ruta tenia accés de només lectura a fitxers del sistema, «que poden incloure configuracions», en paraules del mateix avís. Només lectura, sí; ja veurem per què això no consola tant com sembla.

La frase que importa de l'avís de Fortinet és aquesta: «encara que l'equip del client s'hagués actualitzat amb versions de FortiOS que corregien les vulnerabilitats originals, aquest enllaç simbòlic pot haver quedat allà». Vas pedaçar, vas tancar l'entrada, i la còpia de la clau es va quedar a fora. La Shadowserver Foundation va comptar 16.620 equips compromesos a 16 d'abril del 2025, després d'un primer recompte d'uns 14.000. Fortinet va treure una signatura d'antivirus/IPS que esborra l'enllaç i unes versions de FortiOS que a més impedeixen que el portal serveixi enllaços així, i va demanar als seus clients una cosa que es diu fàcil i es fa molt poc: tractar tota la configuració com a potencialment compromesa.

Sense malware, sense implant, sense binari estrany i sense connexió a un centre de comandament que un NetFlow pugui enxampar: un fitxer que apunta a un altre lloc, una funció legítima del sistema de fitxers feta servir on no toca. Per això durant mesos ningú no el va veure. No hi havia res estrany per veure.

El pedaç era una comparació de cadenes

L'investigador Peter Gabaldón, d'ITRESIT, en comptes de donar el pedaç per bo, el va obrir. La comprovació nova es recolzava en la funció strstr buscant el text /lang/custom dins la ruta demanada. Si el text hi era, es validava on apuntava l'enllaç i es bloquejava el que no tocava. Si no hi era, la petició seguia el seu camí. El problema és que el sistema de fitxers i la ruta escrita no són la mateixa cosa.

.../lang/custom/...    strstr("/lang/custom") -> coincideix    -> es valida l'enllaç  -> bloquejat
.../lang//custom/...   strstr("/lang/custom") -> no coincideix -> no es valida res   -> 200 OK
# per al sistema de fitxers les dues rutes són el mateix directori;
# per a una comparació de text són dues cadenes diferents.

Una barra de més. Això no és cap relliscada exòtica: és el patró que falla en seguretat web des de sempre, el de validar el text que arriba pel cable en comptes de validar l'objecte al qual aquest text acaba resolent. És la família del salt de directori, de les llistes negres d'un WAF i de la meitat dels ensurts que ens emportem els qui escrivim codi. La lliçó és d'arquitectura i cap en una línia: es valida després de normalitzar, o es valida la destinació real —on apunta aquest enllaç?— i no la cadena.

La cronologia que publica el mateix investigador mereix llegir-se a poc a poc. Va trobar el salt el 26 d'abril del 2025, és a dir el mateix mes de l'avís original i analitzant el pedaç acabat de sortir. El va reportar a l'equip de seguretat de Fortinet el 9 d'octubre del 2025. El pedaç corregit va sortir el 10 de febrer del 2026 i la divulgació pública, l'endemà. I CISA no el va posar al catàleg de vulnerabilitats explotades fins al 27 de juliol del 2026. Quinze mesos entre que algú va veure el forat i que la cosa es va convertir en una data límit. I convé ser precisos amb què vol dir això: aquelles versions de l'abril del 2025 també esborraven l'enllaç i afegien una signatura d'antivirus per treure'l, de manera que molts equips van quedar nets. El que no funcionava durant aquells quinze mesos era la barrera: allà on l'enllaç continuava posat —o hi tornava a aparèixer—, el portal el servia igualment a qui demanés la ruta amb una barra de més.

El mateix investigador va escanejar 3.503 FortiGate exposats a Internet i en va trobar 144 encara compromesos (un 4,11%), mentre que 787 ja duien el firmware amb la comprovació d'integritat. És una mostra presa per una persona, no un cens, i convé llegir-la així. Però quatre de cada cent no és una anècdota.

La lletra petita: si ets a 7.2, 7.0 o 6.4, no hi ha pedaç per a tu

La taula de l'avís FG-IR-25-934 diu això: afectades les versions 7.6.0 a 7.6.1 (es corregeix pujant a 7.6.2 o superior) i 7.4.0 a 7.4.6 (a 7.4.7 o superior). I per a les branques 7.2, 7.0 i 6.4, «totes les versions», amb una solució que a la taula ocupa una línia: migrate to a fixed release. Traduït: en aquestes branques no hi ha pedaç. Cal saltar de branca.

Un salt de branca és finestra de manteniment, revisar quines funcions canvien de comportament a l'altra banda, comprovar que els túnels i les polítiques continuen fent el mateix i, de vegades, descobrir que el model que tens no arriba a la branca que necessites. Res d'això no es fa un dimarts a les sis. I hi ha molta gent a 7.2 a propòsit, per estabilitat, perquè li funciona i perquè cada salt li ha portat algun ensurt. És una decisió defensable: quedar-se en una branca madura en comptes de perseguir l'última acostuma a sortir bé. El que gairebé mai no s'escriu al costat d'aquesta decisió és la seva data de caducitat. Aquest avís és aquesta data.

Hi ha un detall que convé posar sobre la taula perquè canvia la lectura. La correcció de l'abril del 2025 sí que va arribar a aquelles branques: les versions que Fortinet va publicar aleshores van ser 7.6.2, 7.4.7, 7.2.11, 7.0.17 i 6.4.16. La del bypass, no. Qui en el seu dia va actualitzar a 7.2.11 —va fer just el que li van demanar— fa des del febrer del 2026 que té el portal capaç de servir l'enllaç si allà n'hi hagués un, i sense cap versió de la seva branca on anar.

Abans de planificar res, tres coses es poden mirar avui mateix i sense tocar la configuració: quina versió exacta corre cada equip (la taula de l'avís decideix, no la sensació d'estar al dia); si la signatura d'antivirus/IPS que Fortinet va publicar l'abril del 2025 per detectar i esborrar l'enllaç està aplicada i al dia; i si el portal SSL-VPN és accessible des d'Internet o només des d'on hauria de ser-ho. Són tres dades, no tres opinions, i amb elles ja es pot ordenar la feina. El que no es dedueix del número de versió és si aquell equip va arribar a tenir l'enllaç posat: això es pregunta al suport del fabricant amb el fitxer de diagnòstic al davant.

El mite: «ja ho hem actualitzat»

Res d'això ja no va de Fortinet. Actualitzar és una acció; estar net és una conclusió. La primera es fa en una finestra de mitja hora i s'apunta al full de treball. La segona necessita proves, i les proves costen hores d'algú mirant registres. Quan un equip perimetral apareix en un avís, gairebé totes les organitzacions fan l'acció i s'estalvien la conclusió, perquè l'acció es pot ensenyar en un comitè i la conclusió no té casella en cap quadre de comandament.

El que crida l'atenció és que les dues fonts oficials d'aquest cas diuen justament el contrari. Fortinet demana tractar tota la configuració com a potencialment compromesa. I la fitxa del KEV de CISA, a l'apartat d'acció requerida, no es queda en «apliqueu el pedaç»: remet explícitament als seus requisits de triatge forense. El catàleg no et demana que actualitzis. Et demana que miris.

La puntuació —5,9 de base, la que ja vam citar ahir de passada— és baixa per una raó raonable: per aprofitar això, l'atacant ha d'haver entrat abans per un altre lloc. En 16.620 equips, aquesta condició prèvia va deixar de ser hipòtesi l'abril del 2025.

Què es perd quan es perd la configuració

Aquí és on el «només lectura» deixa de consolar. La configuració d'un tallafocs perimetral és el mapa de la casa amb les claus enganxades amb cinta: usuaris locals i els seus hashes, claus compartides dels túnels IPsec, la credencial amb què l'equip consulta el directori corporatiu, certificats, adreçament intern, quin servei està publicat i cap a on. N'hi ha prou de llegir-la. Amb això a la mà no cal tornar a entrar pel tallafocs: s'entra per on entra tothom, amb una credencial vàlida, a una hora normal. I això, als registres, s'assembla moltíssim a un empleat treballant. És el mateix criteri amb què vam mirar els zero-days d'un concentrador VPN la setmana passada.

I aquí toca dir una cosa que no afavoreix qui ven el que venem nosaltres: un EDR no corre dins del teu FortiGate. En un appliance tancat no hi ha agent per instal·lar; l'aparell és, per disseny, un punt cec. El que sí que es pot fer és canviar la premissa —aquesta configuració fa des del 2025, com a mínim, que és fora del teu control— i vigilar la resta: credencials de servei fent-se servir a hores que no quadren, autenticacions de VPN des de llocs nous, comptes locals del mateix tallafocs que ningú no recorda haver creat, un salt lateral des de l'equip d'algú que no havia tocat mai aquell servidor. Això sí que es veu, i es veu a dins. La diferència entre tenir registres i que algú els miri és la mateixa de què parlàvem aquest matí sobre les alertes que ningú no atén: una alerta sense responsable no és una defensa, és un registre.

La pregunta que fem en una auditoria

No és «està pedaçat?». Aquesta la contesta un inventari. La que serveix és què sabia el teu tallafocs que ja no és un secret? Si l'equip va estar publicat amb SSL-VPN entre el 2022 i el 2024, si ningú no ha rotat res des d'aleshores i si la resposta a «qui va revisar els registres aquella setmana?» és un silenci, la resposta honesta és: tot.

Un pedaç tanca una porta i es pot ensenyar. Netejar és una altra feina: més llarga, més avorrida, sense nota CVSS que la defensi en una reunió de pressupost i sense cap moment clar en què puguis dir que ja està. Per això gairebé mai no es fa. I per això, quatre de cada cent equips d'aquella mostra continuaven amb l'enllaç posat.

Fonts (verificades): alta de CVE-2025-68686 al catàleg de vulnerabilitats explotades el 27-07-2026, termini del 10-08-2026, descripció i acció requerida amb remissió als requisits de triatge forense: CISA, Known Exploited Vulnerabilities Catalog. Avís del fabricant FG-IR-25-934, «SSL-VPN Symlink Persistence Patch Bypass» (publicat 10-02-2026, actualitzat 12-03-2026): versions afectades i corregides, CVSS 5,3 amb mètriques temporals, crèdit a Peter Gabaldón (ITRESIT). Puntuació base 5,9 aportada per Fortinet com a CNA: NVD. Enllaç simbòlic a la carpeta de fitxers d'idioma de l'SSL-VPN, persistència després d'actualitzar, CVE d'entrada, signatura AV/IPS, versions publicades aleshores (7.6.2, 7.4.7, 7.2.11, 7.0.17 i 6.4.16) i recomanació de tractar la configuració com a compromesa: Fortinet PSIRT, abril del 2025. Recompte de 16.620 equips per Piotr Kijewski (Shadowserver Foundation) a 16-04-2025: BleepingComputer. Anàlisi tècnica del bypass amb la barra doble, cronologia de la divulgació i escaneig de 3.503 equips amb 144 compromesos: Labs at ITRES, 11-02-2026. El criteri de revisió, la lectura del cas i les opinions són nostres.