Descripción de la vulnerabilidad
CVE-2026-59837 es un desbordamiento de búfer basado en pila (CWE-121) en la funcionalidad de reportes de logs de FortiOS, FortiProxy y FortiPAM. Permite a un atacante autenticado con privilegios, capaz de evadir las protecciones de pila y ASLR, ejecutar código o comandos arbitrarios mediante solicitudes HTTP especialmente diseñadas.
Aunque requiere autenticación previa con privilegios, este tipo de fallas es especialmente relevante en escenarios de encadenamiento de vulnerabilidades: combinada con una falla de bypass de autenticación, otorga control total del equipo.
Productos y versiones afectadas
- FortiOS 7.4: 7.4.0 a 7.4.1
- FortiOS 7.2: todas las versiones (requiere migración)
- FortiProxy 7.4: 7.4.0 a 7.4.13
- FortiProxy 7.2: todas las versiones
- FortiPAM 1.8: 1.8.0 a 1.8.2 (ramas 1.0 a 1.7: todas las versiones)
Impacto
- Ejecución de código arbitrario con los privilegios del proceso afectado en el FortiGate
- Posibilidad de comprometer la integridad total del equipo si se combina con otras fallas
- Los FortiGate en versiones 7.4.2 o posteriores no están afectados
Solución recomendada
Actualizar a las siguientes versiones o superiores:
- FortiOS: 7.4.2 o superior
- FortiProxy: 7.4.14 o superior
- FortiPAM: 1.8.3 o superior
Mitigación temporal: Fortinet publicó el virtual patch FG-VD-10009513.0day, disponible a través de la actualización FMWP 26.062, para equipos que no puedan actualizarse de inmediato. Adicionalmente, restrinja el acceso administrativo a interfaces de gestión desde redes de confianza únicamente.