Se ha publicado recientemente en la base de datos NVD la vulnerabilidad CVE-2026-121529, la cual afecta a múltiples versiones de los agentes de seguridad endpoint FortiClient (para Windows y macOS) y módulos FortiClientWindowsPAM. El problema radica en un error de validación de origen (Origin Validation Error) que podría permitir a un atacante remoto no autorizado ejecutar código o comandos arbitrarios en el dispositivo de la víctima. Para que la explotación sea exitosa, el atacante requiere cierto nivel de interacción con el usuario final.
Análisis Técnico y Vectores de Riesgo
El riesgo asociado a esta vulnerabilidad se centra en el compromiso de los dispositivos finales (endpoints) que utilizan FortiClient para acceso remoto (VPN ZTNA) y protección antimalware.
- Causa Raíz (CWE-346): La vulnerabilidad se clasifica como un Error de Validación de Origen (Origin Validation Error). Esto implica que el cliente (FortiClient) no verifica correctamente si los datos o comandos provienen de una fuente legítima y confiable, procesando entradas maliciosas como si fueran auténticas.
- Mecánica de Explotación: El atacante, al ser “remoto”, no necesita acceso físico ni privilegios previos en la red. Sin embargo, la explotación requiere interacción con la víctima, lo que sugiere que el ataque debe combinarse con técnicas de ingeniería social (por ejemplo, persuadir al usuario para que haga clic en un enlace malicioso diseñado específicamente, visite una página web controlada por el atacante, o abra un archivo adulterado que interactúe con el proceso vulnerable de FortiClient).
- Superficie Afectada: La vulnerabilidad abarca un amplio espectro de despliegues corporativos de Fortinet:
- FortiClientMac: Versiones 7.4.0 hasta la 7.4.7.
- FortiClientWindows: Versiones 7.4.0 hasta la 7.4.7, y ramas legacy 7.2.0 hasta la 7.2.14.
- FortiClientWindowsPAM: Versiones específicas 7.4.7 y 7.2.14.
Plan de Mitigación Operativa y Respuesta
- Auditoría y Parcheo de Endpoints: Inventariar a través de la consola de gestión centralizada (EMS – Endpoint Management Server) todas las estaciones de trabajo corporativas (Windows y macOS) que ejecuten las versiones afectadas de FortiClient. Se debe planificar de inmediato la actualización a la versión parcheada que indique el aviso oficial (FG-IR-26-194) de FortiGuard.
- Contención Basada en Interacción (Phishing): Dado que la explotación requiere interacción del usuario, es imperativo reforzar los filtros de seguridad de correo electrónico (DMARC, SEG) y de navegación web (Filtro DNS/Proxy). El objetivo es interceptar los correos electrónicos de phishing o bloquear el acceso a dominios maliciosos que los atacantes pudieran utilizar como señuelos para detonar el exploit en el cliente vulnerable.
- Caza de Amenazas (Threat Hunting): Monitorear la telemetría de los endpoints a través del EDR en busca de procesos anómalos, inyecciones de comandos inusuales o ejecuciones no autorizadas que se originen desde el árbol de procesos de FortiClient.exe (Windows) o sus equivalentes en macOS.
