CISA marca como explotadas fallas de BeyondTrust y Fortinet: el riesgo entra por las herramientas de tu proveedor de TI

La agencia de ciberseguridad de Estados Unidos (CISA) agregó este viernes 16 de octubre de 2026 dos fallas a su catálogo de vulnerabilidades explotadas (KEV): un día cero en BeyondTrust Remote Support (CVE-2026-102764), atacado desde finales de agosto por un grupo de espionaje ligado a China, y una falla de FortiOS (CVE-2025-61624) que se usó para esconder un implante llamado PEERSTITCH en firewalls FortiGate. Las agencias federales de EE. UU. tienen hasta el lunes 19 de octubre para corregir ambas.

Las dos tienen algo en común: atacan las herramientas con las que un proveedor de TI administra a muchos clientes a la vez. En el caso de Fortinet, el ataque empezó en un proveedor de servicios administrados y terminó con las configuraciones de más de 500 firewalls, incluidos los de sus clientes. Es el mismo patrón de la consola de PAN-OS que CISA marcó el miércoles: el atacante busca el equipo que tiene las llaves de los demás.

Las dos fallas en una tabla

La calificación "media" de Fortinet engaña: la falla no abre la puerta, pero le da al intruso control total del equipo una vez que tiene una cuenta de administrador. Y robar esas cuentas es justo lo que hicieron.

BeyondTrust: un mes y medio de ataques sin que nadie lo notara

Según BleepingComputer y BankInfoSecurity (16 de octubre), el primer compromiso fue el 29 de agosto. BeyondTrust lo detectó hasta el 28 de septiembre: una plataforma de detección externa ya había levantado alertas, pero se cerraron solas como falsos positivos. La corrección salió el 8 de octubre (los clientes en la nube quedaron parchados ese día; una fuente dice que el 9) y el aviso BT26-05 se publicó el 15.

Mandiant (Google) atribuye los ataques al grupo Armory Castle (antes UNC5221; Warp Panda para CrowdStrike). Tras entrar, escalaron a root, instalaron una web shell, borraron bitácoras y usaron credenciales de administrador robadas para abrir sesiones hacia los equipos que la consola atiende. Mandiant advierte que este grupo suele pasar a explotación masiva cuando la falla se hace pública y pide tratar como posiblemente comprometido todo equipo expuesto que tuvo una versión vulnerable en esas semanas. Shadowserver ve más de 1,400 instancias expuestas.

Una consola de soporte remoto guarda el acceso a todos los equipos que atiende; por eso es blanco favorito, como pasó en septiembre con ScreenConnect.

Fortinet: del proveedor a 500 firewalls

El reporte que puso a CVE-2025-61624 en el radar lo publicó Unit 42 (Palo Alto Networks) el 14 de octubre. Describe una intrusión, rastreada como CL-STA-0954 o UNC5820, contra un proveedor de servicios administrados de telecomunicaciones:

1. Entrada por la consola central. Explotaron FortiJump (CVE-2024-47575) en el FortiManager desde el que el proveedor administraba los firewalls de sus clientes y se llevaron las configuraciones de más de 500 FortiGates.
2. Contraseñas recuperadas. De esas configuraciones sacaron contraseñas de administración y de VPN SSL, y volvieron a entrar con ellas.
3. Root con CVE-2025-61624. Usaron la falla en los auto-scripts de FortiOS para obtener root e instalar PEERSTITCH, un implante que vive en memoria dentro de los procesos de bitácoras y de VPN.
4. Borrado de huellas. Detuvieron los procesos de registro y provocaron cortes intermitentes de telemetría.

Unit 42 aclara que en los clientes lo confirmado es la exposición de configuraciones y credenciales, no una intrusión en sus redes.

El dato que más debe preocupar a una PyME mexicana está en el aviso de Fortinet: FortiOS 7.2, 7.0 y 6.4 no recibirán corrección. Muchos FortiGate de oficina siguen en esas ramas porque "funcionan bien". Hay un parche virtual (FG-VD-59270.0day) para quien tenga el servicio de protección de firmware, pero la salida es subir a 7.4.10 o 7.6.5, o reemplazar el equipo si su modelo ya no las soporta. Es la tercera alerta de Fortinet en el mes, después de FortiMail y del aviso del FBI sobre FortiBleed y credenciales robadas.

Qué hacer hoy

1. Pregúntale a tu proveedor de TI cómo entra a tus equipos. Si usa BeyondTrust Remote Support o Privileged Remote Access instalado en sus oficinas, pide confirmación por escrito de que aplicó BT26-05-RS (versiones anteriores a 24.3.1 deben actualizar primero) y de que revisó bitácoras desde el 29 de agosto.
2. Revisa la versión de tu FortiGate con get system status. Si dice 7.4.9 o anterior, 7.6.4 o anterior, o cualquier 7.2, 7.0 o 6.4, agenda la actualización con la herramienta de rutas de Fortinet y respalda la configuración antes.
3. Revisa los auto-scripts. En Security Fabric → Automation, o con show system auto-script, busca scripts que no reconozcas, sobre todo con ../ en el nombre. Es el indicador que Unit 42 encontró.
4. Limpia las cuentas de administrador: borra las que nadie usa, quita las compartidas y activa doble factor. Si un tercero administra tu firewall desde FortiManager, pregunta si esa consola estuvo expuesta a internet.
5. Cambia contraseñas de VPN y administración si tu proveedor no puede asegurarte que su consola central nunca fue comprometida. Un gestor de contraseñas facilita rotarlas.
6. Saca la administración de internet. Ni el FortiGate ni la consola de soporte remoto deberían mostrar su página de administración al mundo.
7. Si vendes en línea con Magento, aplica la versión de octubre: Sansec reportó el 16 de octubre BlockStrap (CVE-2026-103849), que permite ejecutar código en el servidor. Aún no se ve explotada, pero Sansec espera ataques pronto, como pasó con la falla de septiembre.

Tu proveedor también es parte de tu superficie de ataque

Que un tercero administre tu firewall es buena idea, siempre que sepas qué herramientas usa y con qué cuentas entra. Al elegir proveedor de servicios de TI, pide por escrito su política de parches, doble factor en todos sus accesos y aviso inmediato si sufre un incidente.

Esa revisión (versión del firewall, cuentas, accesos remotos y bitácoras) la hacemos dentro de nuestros servicios de ciberseguridad y redes.