---

📋 Resumen

CVE-2026-21643 es una vulnerabilidad de inyección SQL crítica (CWE-89) que afecta únicamente al Fortinet FortiClient Endpoint Management Server (FortiClientEMS) versión 7.4.4.

Un atacante remoto no autenticado puede enviar solicitudes HTTP especialmente diseñadas a la interfaz administrativa basada en web (GUI) y ejecutar comandos SQL no autorizados. Esto puede conducir a un compromiso total del sistema, incluida la ejecución de código arbitrario en el servidor.

Riesgo clave: La vulnerabilidad es pre-autenticación, lo que convierte a cualquier instancia de FortiClientEMS expuesta a internet o alcanzable en un objetivo de alto valor.

---

🔍 Detalles técnicos

• ID CVE: CVE-2026-21643
• IR de Fortinet: FG-IR-25-1142
• Gravedad: Crítica
• Puntuación CVSS v3.1: 9.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
• Tipo de vulnerabilidad: Neutralización incorrecta de elementos especiales utilizados en un comando SQL (Inyección SQL)
• Componente afectado: Interfaz administrativa web (GUI)
• Vector de ataque: Remoto, mediante solicitudes HTTP especialmente diseñadas (presuntamente relacionado con la cabecera Site en configuraciones multiinquilino y endpoints como /api/v1/init_consts)
• Autenticación requerida: Ninguna
• Interacción del usuario: Ninguna
• Explotación pública conocida: No (a marzo de 2026)
• Descubierto por: Internamente por Fortinet (Gwendal Guégniaud, equipo de Seguridad de Producto)

---

📊 Versiones afectadas

---

✅ Remediación

Se recomienda actuar con urgencia:

1. Actualice inmediatamente a FortiClientEMS 7.4.5 o cualquier versión más reciente (incluida la rama 8.0).
2. Restrinja el acceso a la GUI administrativa:
   • Colóquela detrás de una VPN, firewall o solución de confianza cero.
   • Evite exponer la interfaz web de EMS directamente a internet.
3. Supervise los registros en busca de solicitudes sospechosas a los endpoints administrativos (por ejemplo, que involucren la cabecera Site o patrones de SQLi basados en errores).
4. Aplique las firmas IPS de FortiGuard si están disponibles para una protección adicional.

Aviso oficial de Fortinet:
https://fortiguard.fortinet.com/psirt/FG-IR-25-1142

---

🛡️ Mitigación y mejores prácticas

• Prioridad de parche: Alta — trátese como una emergencia debido a su naturaleza pre-autenticación.
• Si no se puede parchear de inmediato, bloquee el acceso externo a la interfaz de administración de EMS.
• Revise las configuraciones multiinquilino (más expuestas debido al manejo de la cabecera Site).
• Habilite el registro detallado y supervise las fugas de errores de la base de datos.
• Analice periódicamente su entorno en busca de instancias de FortiClientEMS expuestas.

Nota: La falla se introdujo durante una refactorización de middleware en 7.4.4 relacionada con la compatibilidad multiinquilino y se corrigió silenciosamente en 7.4.5.

---

📚 Referencias y lecturas adicionales

• NVD - CVE-2026-21643
• Aviso PSIRT de Fortinet FG-IR-25-1142
• Análisis de Arctic Wolf
• Cobertura de The Hacker News
• Qualys ThreatPROTECT
• Base de datos de vulnerabilidades de SentinelOne

---

📌 Descargo de responsabilidad

Este repositorio se mantiene únicamente con fines de seguridad defensiva, concienciación e información. Consulte siempre el aviso oficial de Fortinet para obtener la orientación más precisa y actualizada.

Aquí no se incluyen exploits públicos.

---

⭐ Dale una estrella a este repositorio si te ayudó a mantenerte seguro.
🛠️ Las contribuciones, correcciones o IOC adicionales son bienvenidas mediante Pull Requests.

Última actualización: marzo de 2026