Primero fue PHP. Ahora toca Fortinet.
La semana pasada saltó la alarma con dos vulnerabilidades críticas de PHP, conocidas como PHP2Shell (CVE-2026-109618 y CVE-2026-109619) [1]. Si oíste hablar de ellas, probablemente ya has pasado página.
Pero la semana tuvo una segunda noticia, que ha tenido menos eco.
Qué hicimos con PHP
En la madrugada del 21 de octubre aplicamos reglas de firewall (WAF) que protegieron al momento las webs que gestionamos, antes de que hubiera ningún parche. Sobre las 16:00 de ese mismo día, cuando el fabricante liberó las actualizaciones, ya teníamos los servidores parcheados [1].
Primero tapar, después arreglar. Fue cuestión de horas.
La segunda noticia: Fortinet
No tiene nada que ver con PHP, pero va en la misma dirección. El 21de octubre Fortinet publicó actualizaciones de seguridad para FortiOS (el sistema de los cortafuegos FortiGate), FortiManager y FortiAnalyzer, después de hacerlo ya para FortiMail y FortiAuthenticator. Incluyen correcciones críticas y de alta gravedad, y el propio fabricante pide priorizar los equipos expuestos a internet [2].
Estas vulnerabilidades no han salido de la nada. Fortinet utiliza modelos de IA de frontera, entre ellos el Project Glasswing de Anthropic [4], para buscar errores en su propio código antes de que lo hagan los atacantes [3].
Es una buena noticia: los encuentran y los arreglan ellos primero.
Por qué no dicen qué arreglan
Las actualizaciones no detallan las correcciones. Los avisos de seguridad (advisories) se publicarán el 10 de noviembre. El motivo es que un atacante puede comparar un parche con la versión anterior para descubrir dónde estaba el fallo, y con IA esto se hace en horas [2]. Fortinet sitúa el tiempo entre que se conoce una vulnerabilidad crítica y que se explota en 24-48 horas, cuando en 2024 eran casi cinco días de media [3].
Cómo saber si tu FortiGate está al día
Las versiones que incorporan este paquete de correcciones son FortiOS 7.2.14, 7.4.13, 7.6.8 y 8.0.2, o superiores [2]. Si tu equipo está por debajo, toca actualizar. Mientras tanto, limita el acceso de administración (HTTPS y SSH) a direcciones de confianza y evita que sea accesible desde internet.
Mitigar primero, parchear después
Es la recomendación del propio Fortinet: reducir la exposición y aplicar parches virtuales mientras llega la actualización, y no esperar a la ventana trimestral de mantenimiento [3]. Es la lógica que seguimos con las reglas WAF.
Esto es la nueva normalidad
Salen más vulnerabilidades, más deprisa, y el margen para reaccionar se reduce. La pregunta ya no es si te afectará, sino quién llega primero: el ataque o la prevención.
O actualizas, o te expones.
Si tienes un FortiGate y no sabes en qué versión está, escríbenos. Nos ocupamos de ello dentro de nuestro servicio de mantenimiento informático para pymes y de ciberseguridad. Llámanos al 972 22 67 44 o utiliza el formulario de contacto.
Fuentes
- [1] Help Net Security. «PHP2Shell: PHP vulnerabilities patched (CVE-2026-109618, CVE-2026-109619)», 21/10/2026.
- [2] Fortinet. «Fortinet Releases Security Hardening Release for Multiple Products». Carl Windsor, CISO Collective, 21/10/2026.
https://www.fortinet.com/blog/ciso-collective/fortinet-releases-security-hardening-release-for-multiple-products - [3] Fortinet. «Update on Fortinet Use of Frontier AI». Carl Windsor, CISO Collective, 30/06/2026.
https://www.fortinet.com/blog/ciso-collective/update-on-fortinet-use-of-frontier-ai - [4] Anthropic. «Project Glasswing». Página del proyecto.
https://www.anthropic.com/project/glasswing
