Fortinet ha publicado el 10 de noviembre de 2026 un aviso de gravedad crítica para CVE-2026-121529, una vulnerabilidad en FortiClient para Windows, Mac y Windows PAM que puede permitir a un atacante remoto sin autenticar ejecutar código o comandos en el equipo. Hace falta que la víctima intervenga, por ejemplo visitando una página preparada. Su descubridor, Kevin Joensen, de Baldur Security, la ha bautizado como «Fortinet2Shell».
Las claves de Fortinet2Shell en 30 segundos
- CVE-2026-121529 tiene una puntuación CVSS de 9,1 y Fortinet la clasifica como crítica.
- Afecta a FortiClient Windows, Mac y Windows PAM 7.4.0 a 7.4.7, y a Windows y Windows PAM 7.2.0 a 7.2.14.
- Se corrige en 7.4.8 y 7.2.15; la rama 8.0 no está afectada.
- Fortinet no tiene constancia de explotación activa y no ofrece parche virtual.
El aviso de Fortinet (FG-IR-26-194) describe el problema como un error de validación del origen (CWE-346) en un endpoint de la API local de FortiClient. Según la cobertura de Cyber Security News, la causa es una configuración de CORS (el mecanismo que decide qué webs pueden hacer peticiones a otro servicio) demasiado permisiva: una página controlada por el atacante puede comunicarse desde el navegador con el servicio que FortiClient deja escuchando en el propio equipo y conseguir que ejecute código. Fortinet no ha publicado detalles técnicos de la explotación y, por ahora, no hay una prueba de concepto pública conocida para este fallo.
Versiones afectadas y corregidas
Según la tabla del aviso oficial:
- FortiClient Mac: 7.4.0 a 7.4.7 afectadas, corregido en 7.4.8. Las ramas 7.2 y 8.0 no están afectadas.
- FortiClient Windows: 7.4.0 a 7.4.7 (corregido en 7.4.8) y 7.2.0 a 7.2.14 (corregido en 7.2.15). La 8.0 no está afectada.
- FortiClient Windows PAM: las mismas versiones y correcciones que FortiClient Windows.
Fortinet clasifica el ataque como no autenticado y con impacto de escalada de privilegios, y advierte de que no existe parche virtual, es decir, que no hay una firma en sus cortafuegos que bloquee el ataque mientras no se actualiza el cliente. Tampoco publica una medida alternativa: la única solución es instalar la versión corregida.
Por qué preocupa y qué hacer
FortiClient es el cliente de VPN y protección de endpoint que muchas empresas despliegan en todos los portátiles de su plantilla, y eso convierte el fallo en un problema de escala. El requisito de interacción reduce el riesgo frente a un fallo explotable sin intervención, pero es una barrera baja: basta con que un empleado abra un enlace en un correo o visite una web comprometida. Que Fortinet no conozca explotación activa no garantiza que no la haya pronto, sobre todo con un nombre llamativo y una descripción de la causa ya en circulación.
La prioridad es actualizar todas las instalaciones de FortiClient 7.2 y 7.4 a las versiones corregidas, empezando por los equipos de usuarios con más privilegios. Para localizar equipos Windows posiblemente expuestos, Cyber Security News señala dos indicios: un servicio escuchando en el puerto TCP 9191 o un proceso FortiVRS.exe en ejecución. Son señales de que el componente está presente, no de que el equipo haya sido atacado. Mientras dura el despliegue del parche, conviene recordar a los usuarios que no abran enlaces desconocidos y revisar las reglas de filtrado web. Para quien gestione también cortafuegos FortiGate, este aviso llega poco después del fin de soporte de FortiOS 7.2, otra actualización pendiente en muchas redes.
Preguntas frecuentes
¿Qué es Fortinet2Shell?
El nombre que su descubridor ha dado a CVE-2026-121529, un fallo crítico en FortiClient que puede permitir ejecutar código de forma remota si la víctima interactúa.
¿Qué versiones de FortiClient están afectadas?
Windows, Mac y Windows PAM 7.4.0 a 7.4.7, y Windows y Windows PAM 7.2.0 a 7.2.14. La rama 8.0 y FortiClient Mac 7.2 no están afectadas.
¿Cómo se corrige?
Actualizando a FortiClient 7.4.8 o posterior, o a 7.2.15 o posterior en la rama 7.2. Fortinet no ofrece parche virtual.
¿Se está explotando?
Fortinet indica que no se conoce explotación activa en el momento de publicar el aviso.
Fuentes:
