[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/beyondtrust-fortinet-explotadas-acceso-remoto-proveedores":3,"prev-/blog/noticias/beyondtrust-fortinet-explotadas-acceso-remoto-proveedores":458,"next-/blog/noticias/beyondtrust-fortinet-explotadas-acceso-remoto-proveedores":436,"related-/blog/noticias/beyondtrust-fortinet-explotadas-acceso-remoto-proveedores":461,"author-Diego Herrera":480},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":413,"cta":414,"date":419,"dateModified":419,"description":420,"draft":421,"extension":422,"faq":423,"featured":421,"howto":436,"image":437,"imageAlt":438,"intent":439,"keywords":440,"meta":445,"navigation":446,"path":447,"publishedTime":448,"readingTime":449,"seo":450,"seoTitle":451,"stem":452,"tags":453,"__hash__":457},"blog/blog/noticias/beyondtrust-fortinet-explotadas-acceso-remoto-proveedores.md","CISA marca como explotadas fallas de BeyondTrust y Fortinet: el riesgo entra por las herramientas de tu proveedor de TI","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":403},"minimark",[11,38,54,59,162,165,169,184,199,207,211,218,253,260,276,284,287,291,370,374,382,394],[12,13,14,25,26,29,30,33,34,37],"p",{},[15,16,17,18],"strong",{},"La agencia de ciberseguridad de Estados Unidos (CISA) agregó este viernes 16 de octubre de 2026 dos fallas a su ",[19,20,24],"a",{"href":21,"rel":22},"https://www.cisa.gov/news-events/alerts/2026/10/16/cisa-adds-two-known-exploited-vulnerabilities-catalog",[23],"nofollow","catálogo de vulnerabilidades explotadas (KEV)",": un día cero en ",[15,27,28],{},"BeyondTrust Remote Support"," (CVE-2026-102764), atacado desde finales de agosto por un grupo de espionaje ligado a China, y una falla de ",[15,31,32],{},"FortiOS"," (CVE-2025-61624) que se usó para esconder un implante llamado PEERSTITCH en firewalls FortiGate. Las agencias federales de EE. UU. tienen hasta el ",[15,35,36],{},"lunes 19 de octubre"," para corregir ambas.",[12,39,40,41,44,45,48,49,53],{},"Las dos tienen algo en común: ",[15,42,43],{},"atacan las herramientas con las que un proveedor de TI administra a muchos clientes a la vez",". En el caso de Fortinet, el ataque empezó en un proveedor de servicios administrados y terminó con las configuraciones de ",[15,46,47],{},"más de 500 firewalls",", incluidos los de sus clientes. Es el mismo patrón de la ",[19,50,52],{"href":51},"/blog/noticias/pan-os-cve-2026-0322-consola-firewall-explotada","consola de PAN-OS"," que CISA marcó el miércoles: el atacante busca el equipo que tiene las llaves de los demás.",[55,56,58],"h2",{"id":57},"las-dos-fallas-en-una-tabla","Las dos fallas en una tabla",[60,61,62,76],"table",{},[63,64,65],"thead",{},[66,67,68,71,73],"tr",{},[69,70],"th",{},[69,72,28],{},[69,74,75],{},"Fortinet FortiOS y otros",[77,78,79,91,102,113,130,141,152],"tbody",{},[66,80,81,85,88],{},[82,83,84],"td",{},"CVE",[82,86,87],{},"CVE-2026-102764 (aviso BT26-05)",[82,89,90],{},"CVE-2025-61624 (aviso FG-IR-26-122)",[66,92,93,96,99],{},[82,94,95],{},"Qué es",[82,97,98],{},"Software de soporte remoto y acceso privilegiado",[82,100,101],{},"Sistema operativo de los firewalls FortiGate, además de FortiProxy, FortiPAM y FortiSwitchManager",[66,103,104,107,110],{},[82,105,106],{},"Severidad del fabricante",[82,108,109],{},"Crítica, 9.3 en CVSS 4.0",[82,111,112],{},"Media, 6.0 en CVSS 3",[66,114,115,118,124],{},[82,116,117],{},"¿Pide contraseña?",[82,119,120,123],{},[15,121,122],{},"No."," Un atacante remoto puede manipular archivos del equipo sin autenticarse",[82,125,126,129],{},[15,127,128],{},"Sí."," Requiere un administrador con permisos de lectura y escritura",[66,131,132,135,138],{},[82,133,134],{},"Explotada desde",[82,136,137],{},"29 de agosto de 2026",[82,139,140],{},"Fortinet la marca como explotada; Unit 42 la documentó en una intrusión que empezó en septiembre de 2024",[66,142,143,146,149],{},[82,144,145],{},"Corrección",[82,147,148],{},"Parche BT26-05-RS para versiones 24.3.1 a 26.2.3",[82,150,151],{},"FortiOS 7.4.10+ o 7.6.5+; las ramas 7.2, 7.0 y 6.4 no tienen corrección",[66,153,154,157,160],{},[82,155,156],{},"Plazo federal en EE. UU.",[82,158,159],{},"19 de octubre",[82,161,159],{},[12,163,164],{},"La calificación \"media\" de Fortinet engaña: la falla no abre la puerta, pero le da al intruso control total del equipo una vez que tiene una cuenta de administrador. Y robar esas cuentas es justo lo que hicieron.",[55,166,168],{"id":167},"beyondtrust-un-mes-y-medio-de-ataques-sin-que-nadie-lo-notara","BeyondTrust: un mes y medio de ataques sin que nadie lo notara",[12,170,171,172,175,176,179,180,183],{},"Según BleepingComputer y BankInfoSecurity (16 de octubre), el primer compromiso fue el ",[15,173,174],{},"29 de agosto",". BeyondTrust lo detectó hasta el ",[15,177,178],{},"28 de septiembre",": una plataforma de detección externa ya había levantado alertas, pero se cerraron solas como falsos positivos. La corrección salió el ",[15,181,182],{},"8 de octubre"," (los clientes en la nube quedaron parchados ese día; una fuente dice que el 9) y el aviso BT26-05 se publicó el 15.",[12,185,186,187,190,191,194,195,198],{},"Mandiant (Google) atribuye los ataques al grupo ",[15,188,189],{},"Armory Castle"," (antes UNC5221; Warp Panda para CrowdStrike). Tras entrar, escalaron a root, instalaron una web shell, ",[15,192,193],{},"borraron bitácoras"," y usaron credenciales de administrador robadas para abrir sesiones hacia los equipos que la consola atiende. Mandiant advierte que este grupo suele pasar a explotación masiva cuando la falla se hace pública y pide tratar como ",[15,196,197],{},"posiblemente comprometido"," todo equipo expuesto que tuvo una versión vulnerable en esas semanas. Shadowserver ve más de 1,400 instancias expuestas.",[12,200,201,202,206],{},"Una consola de soporte remoto guarda el acceso a todos los equipos que atiende; por eso es blanco favorito, como pasó en septiembre con ",[19,203,205],{"href":204},"/blog/noticias/screenconnect-cve-2026-84869-soporte-remoto","ScreenConnect",".",[55,208,210],{"id":209},"fortinet-del-proveedor-a-500-firewalls","Fortinet: del proveedor a 500 firewalls",[12,212,213,214,217],{},"El reporte que puso a CVE-2025-61624 en el radar lo publicó ",[15,215,216],{},"Unit 42 (Palo Alto Networks) el 14 de octubre",". Describe una intrusión, rastreada como CL-STA-0954 o UNC5820, contra un proveedor de servicios administrados de telecomunicaciones:",[219,220,221,231,237,247],"ol",{},[222,223,224,227,228,206],"li",{},[15,225,226],{},"Entrada por la consola central."," Explotaron FortiJump (CVE-2024-47575) en el FortiManager desde el que el proveedor administraba los firewalls de sus clientes y se llevaron las configuraciones de ",[15,229,230],{},"más de 500 FortiGates",[222,232,233,236],{},[15,234,235],{},"Contraseñas recuperadas."," De esas configuraciones sacaron contraseñas de administración y de VPN SSL, y volvieron a entrar con ellas.",[222,238,239,242,243,246],{},[15,240,241],{},"Root con CVE-2025-61624."," Usaron la falla en los auto-scripts de FortiOS para obtener root e instalar ",[15,244,245],{},"PEERSTITCH",", un implante que vive en memoria dentro de los procesos de bitácoras y de VPN.",[222,248,249,252],{},[15,250,251],{},"Borrado de huellas."," Detuvieron los procesos de registro y provocaron cortes intermitentes de telemetría.",[12,254,255,256,259],{},"Unit 42 aclara que en los clientes lo confirmado es la ",[15,257,258],{},"exposición de configuraciones y credenciales",", no una intrusión en sus redes.",[12,261,262,263,266,267,271,272,206],{},"El dato que más debe preocupar a una PyME mexicana está en el aviso de Fortinet: ",[15,264,265],{},"FortiOS 7.2, 7.0 y 6.4 no recibirán corrección",". Muchos FortiGate de oficina siguen en esas ramas porque \"funcionan bien\". Hay un parche virtual (FG-VD-59270.0day) para quien tenga el servicio de protección de firmware, pero la salida es subir a 7.4.10 o 7.6.5, o reemplazar el equipo si su modelo ya no las soporta. Es la tercera alerta de Fortinet en el mes, después de ",[19,268,270],{"href":269},"/blog/noticias/fortimail-cve-2026-104286-dia-cero","FortiMail"," y del aviso del FBI sobre ",[19,273,275],{"href":274},"/blog/noticias/fortibleed-fbi-alerta-fortigate-credenciales","FortiBleed y credenciales robadas",[277,278,281],"callout",{"icon":279,"title":280},"i-lucide-triangle-alert","Parchar no deshace el robo",[12,282,283],{},"En los dos casos los atacantes se llevaron credenciales y borraron bitácoras. Las contraseñas, llaves y certificados expuestos siguen sirviendo hasta que alguien los cambie en cada equipo.",[285,286],"ad-banner",{},[55,288,290],{"id":289},"qué-hacer-hoy","Qué hacer hoy",[219,292,293,303,314,337,343,354,360],{},[222,294,295,298,299,302],{},[15,296,297],{},"Pregúntale a tu proveedor de TI cómo entra a tus equipos."," Si usa BeyondTrust Remote Support o Privileged Remote Access instalado en sus oficinas, pide confirmación por escrito de que aplicó ",[15,300,301],{},"BT26-05-RS"," (versiones anteriores a 24.3.1 deben actualizar primero) y de que revisó bitácoras desde el 29 de agosto.",[222,304,305,308,309,313],{},[15,306,307],{},"Revisa la versión de tu FortiGate"," con ",[310,311,312],"code",{},"get system status",". Si dice 7.4.9 o anterior, 7.6.4 o anterior, o cualquier 7.2, 7.0 o 6.4, agenda la actualización con la herramienta de rutas de Fortinet y respalda la configuración antes.",[222,315,316,319,320,324,325,328,329,332,333,336],{},[15,317,318],{},"Revisa los auto-scripts."," En ",[321,322,323],"em",{},"Security Fabric"," → ",[321,326,327],{},"Automation",", o con ",[310,330,331],{},"show system auto-script",", busca scripts que no reconozcas, sobre todo con ",[310,334,335],{},"../"," en el nombre. Es el indicador que Unit 42 encontró.",[222,338,339,342],{},[15,340,341],{},"Limpia las cuentas de administrador",": borra las que nadie usa, quita las compartidas y activa doble factor. Si un tercero administra tu firewall desde FortiManager, pregunta si esa consola estuvo expuesta a internet.",[222,344,345,348,349,353],{},[15,346,347],{},"Cambia contraseñas de VPN y administración"," si tu proveedor no puede asegurarte que su consola central nunca fue comprometida. Un ",[19,350,352],{"href":351},"/blog/tutorial/implementar-gestor-contrasenas-empresa","gestor de contraseñas"," facilita rotarlas.",[222,355,356,359],{},[15,357,358],{},"Saca la administración de internet."," Ni el FortiGate ni la consola de soporte remoto deberían mostrar su página de administración al mundo.",[222,361,362,365,366,206],{},[15,363,364],{},"Si vendes en línea con Magento",", aplica la versión de octubre: Sansec reportó el 16 de octubre BlockStrap (CVE-2026-103849), que permite ejecutar código en el servidor. Aún no se ve explotada, pero Sansec espera ataques pronto, como pasó con la ",[19,367,369],{"href":368},"/blog/noticias/magento-adobe-commerce-cve-2026-75650","falla de septiembre",[55,371,373],{"id":372},"tu-proveedor-también-es-parte-de-tu-superficie-de-ataque","Tu proveedor también es parte de tu superficie de ataque",[12,375,376,377,381],{},"Que un tercero administre tu firewall es buena idea, siempre que sepas qué herramientas usa y con qué cuentas entra. Al ",[19,378,380],{"href":379},"/blog/guia-empresarial/elegir-proveedor-servicios-it","elegir proveedor de servicios de TI",", pide por escrito su política de parches, doble factor en todos sus accesos y aviso inmediato si sufre un incidente.",[12,383,384,385,389,390,206],{},"Esa revisión (versión del firewall, cuentas, accesos remotos y bitácoras) la hacemos dentro de nuestros servicios de ",[19,386,388],{"href":387},"/servicios/ciberseguridad","ciberseguridad"," y ",[19,391,393],{"href":392},"/servicios/redes","redes",[395,396],"call-to-action",{"description":397,"eyebrow":398,"icon":399,"label":400,"title":401,"to":402},"Revisamos tu FortiGate, las cuentas de administrador y las herramientas de soporte remoto de tus proveedores, y te entregamos qué cambiar esta semana.","Firewall y accesos remotos","i-lucide-calendar-check","Agendar revisión","¿Sabes quién tiene las llaves de tu red?","/contacto",{"title":404,"searchDepth":405,"depth":406,"links":407},"",2,3,[408,409,410,411,412],{"id":57,"depth":405,"text":58},{"id":167,"depth":405,"text":168},{"id":209,"depth":405,"text":210},{"id":289,"depth":405,"text":290},{"id":372,"depth":405,"text":373},"noticias",{"title":415,"description":416,"label":417,"to":387,"icon":418},"Revisamos tu firewall y los accesos de tus proveedores","Verificamos versión de FortiOS, cuentas de administrador, perfiles de acceso remoto y bitácoras, y te decimos qué credenciales rotar.","Ver ciberseguridad","i-lucide-shield-check","2026-10-16","CISA sumó el 16 de octubre un día cero de BeyondTrust Remote Support y una falla de FortiOS usada para implantar PEERSTITCH. Qué revisar con tu proveedor.",false,"md",[424,427,430,433],{"question":425,"answer":426},"¿Mi empresa usa BeyondTrust Remote Support?","Es raro que una PyME lo tenga instalado, pero es común que lo use su proveedor de TI, su mesa de ayuda externa o un fabricante que da soporte a su ERP o a su maquinaria. Pregúntale a quien entra a tus equipos de forma remota qué herramienta usa y si ya aplicó el parche BT26-05.",{"question":428,"answer":429},"¿La falla de Fortinet permite entrar a mi FortiGate desde internet?","No por sí sola. CVE-2025-61624 exige una cuenta de administrador con permisos de lectura y escritura; sirve para pasar de administrador a root y esconder malware en el equipo. Por eso es peligrosa cuando alguien ya robó contraseñas de administración, por ejemplo desde la consola central de un proveedor.",{"question":431,"answer":432},"Mi FortiGate tiene FortiOS 7.2 o 7.0, ¿hay parche?","No en esas ramas. El aviso FG-IR-26-122 de Fortinet indica que todas las versiones 7.2, 7.0 y 6.4 están afectadas y pide migrar a una versión corregida: 7.4.10 o posterior, o 7.6.5 o posterior. Si tu modelo no soporta 7.4, es momento de planear el reemplazo.",{"question":434,"answer":435},"Si ya parcharon, ¿estoy a salvo?","No necesariamente. En los dos casos los atacantes robaron credenciales y borraron bitácoras. El parche cierra la puerta, pero las contraseñas, llaves y certificados que estuvieron expuestos siguen sirviendo hasta que se cambien.",null,"/images/blog/noticias/beyondtrust-fortinet-explotadas-acceso-remoto-proveedores.jpg","Firewall y consola de soporte remoto conectados a varias oficinas, con una alerta roja sobre el enlace del proveedor","informational",[441,442,443,444],"cve-2026-102764 beyondtrust","cve-2025-61624 fortinet","peerstitch fortigate","cisa kev octubre 2026",{},true,"/blog/noticias/beyondtrust-fortinet-explotadas-acceso-remoto-proveedores","2026-10-16T15:30:00-06:00",5,{"title":5,"description":420},"BeyondTrust y Fortinet explotadas: KEV de CISA del 16-oct","blog/noticias/beyondtrust-fortinet-explotadas-acceso-remoto-proveedores",[388,454,455,456],"vulnerabilidades","fortinet","soporte remoto","VuWM18S738QKtvmSj70QeozRKXX7EzGoy3j_lQEFjV0",{"path":459,"title":460},"/blog/noticias/nextcloud-collabora-cve-2026-110447-web-shells","Nextcloud: atacan el editor de documentos integrado con una falla que no pide contraseña (CVE-2026-110447)",[462,468,474],{"path":463,"title":464,"description":465,"date":419,"category":413,"image":466,"imageAlt":467,"readingTime":449},"/blog/noticias/smtp-auth-basica-microsoft-365-fin-diciembre","La multifuncional, el ERP y los avisos automáticos: lo que dejará de enviar correo en Microsoft 365 a fin de año","A fines de diciembre de 2026 Microsoft 365 apaga por defecto el envío SMTP con usuario y contraseña. Qué equipos fallan, cómo detectarlos y a qué migrar.","/images/blog/noticias/smtp-auth-basica-microsoft-365-fin-diciembre.jpg","Impresora multifuncional de oficina junto a un monitor con un mensaje de error de envío de correo",{"path":469,"title":470,"description":471,"date":419,"category":413,"image":472,"imageAlt":473,"readingTime":449},"/blog/noticias/imss-emi-buzon-mis-documentos-cuotas","La propuesta de cuotas del IMSS llega al Buzón: úsala para cuadrar tu nómina antes de pagar","Desde el 9 de octubre las propuestas de cuotas EMA y EBA del IMSS (EMI-1 y EMI-2) llegan al Buzón IMSS. Cómo usarlas para conciliar antes de pagar.","/images/blog/noticias/imss-emi-buzon-mis-documentos-cuotas.jpg","Persona de recursos humanos comparando en dos pantallas la emisión del IMSS y el reporte de nómina",{"path":475,"title":476,"description":477,"date":419,"category":413,"image":478,"imageAlt":479,"readingTime":449},"/blog/noticias/gemini-api-apaga-veo-tts-live-preview","Google apaga los modelos preview de video, voz y Deep Research en la API de Gemini: fechas y cuánto cuesta migrar","La API de Gemini apaga Veo 3.1 preview el 22 de octubre, Deep Research Pro el 23 y los preview de voz y Live el 17 de noviembre. Reemplazos y costos.","/images/blog/noticias/gemini-api-apaga-veo-tts-live-preview.jpg","Panel de desarrollador con llamadas a una API de inteligencia artificial y un calendario con fechas marcadas",{"id":481,"avatar":436,"bio":482,"entityType":483,"expertise":484,"extension":485,"meta":486,"name":6,"role":487,"slug":488,"social":436,"stem":489,"url":7,"__hash__":490},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]