Una vulnerabilidad crítica en el firewall de aplicaciones web (WAF) FortiWeb de Fortinet está siendo explotada activamente por ciberdelincuentes, potencialmente como un vector de ataque Zero-Day.
Detalles técnicos y contexto
La falla permite a atacantes no autenticados obtener acceso de administrador al panel de FortiWeb Manager y a la interfaz de línea de comandos de WebSocket. Esta vulnerabilidad se detectó mediante una prueba de concepto (PoC) compartida por Defused el 6 de octubre de 2025.
El honeypot de Defused capturó intentos reales dirigidos a instancias expuestas de FortiWeb, lo que confirmó la explotación activa. La vulnerabilidad parece deberse a un problema de recorrido de rutas (path traversal) que permite la explotación remota sin acceso previo.
Exploit y respuesta del proveedor
Según los detalles compartidos por Defused y el investigador Daniel Card de PwnDefend, el actor de amenazas envía una carga útil a /api/v2.0/cmdb/system/admin%3F/../../../../../cgi-bin/fwbcgi mediante una solicitud HTTP POST para crear una cuenta de administrador.
Rapid7 confirmó la eficacia del exploit, observando que crea con éxito cuentas de administrador no autorizadas como «hax0r» en las versiones vulnerables. La empresa de seguridad destacó que, aunque el PoC público falla en la versión 8.0.2, no está claro si esta actualización incluye una corrección silenciosa o cambios fortuitos.
Fortinet publicó un comunicado oficial y asignó el identificador CVE-2025-64446 (CVSS 9.1). La falta de reconocimiento por parte del proveedor aumenta la preocupación, especialmente dado el historial de ataques dirigidos a Fortinet.
Versión afectada y solución
Las versiones afectadas son las siguientes:
- FortiWeb 8.0: Versión 8.0.0 through 8.0.1 – Solución: Actualizar a 8.0.2 o superior.
- FortiWeb 7.6: Versión 7.6.0 through 7.6.4 – Solución: Actualizar a 7.6.5 o superior.
- FortiWeb 7.4: Versión 7.4.0 through 7.4.9 – Solución: Actualizar a 7.4.10 o superior.
- FortiWeb 7.2: Versión 7.2.0 through 7.2.11 – Solución: Actualizar a 7.2.12 o superior.
- FortiWeb 7.0: Versión 7.0.0 through 7.0.11 – Solución: Actualizar a 7.0.12 o superior.
Las organizaciones que utilizan versiones de FortiWeb anteriores a la 8.0.2 se enfrentan a un riesgo inmediato y deben priorizar las actualizaciones de emergencia o aislar las interfaces de administración para evitar su exposición pública.
Actividad de explotación
Se han reportado casos de explotación desde octubre de 2025, y Defused afirma haber realizado ataques dirigidos a dispositivos expuestos. El escaneo y la propagación global de la vulnerabilidad se han intensificado, involucrando direcciones IP de regiones como Estados Unidos, Europa y Asia.
Añadiendo urgencia a la situación, el 6 de noviembre de 2025, Rapid7 detectó una supuesta vulnerabilidad de día cero para FortiWeb que se ofrecía a la venta en un conocido foro de hackers, aunque su relación con esta falla aún no se ha confirmado.
Investigadores de watchTowr Labs han publicado herramientas para detectar instancias vulnerables mediante la generación aleatoria de usuarios administradores:
- Testpoint / AFodIUU3Sszp5
- trader1 / 3eMIXX43
- trader / 3eMIXX43
- test1234point / AFT3$tH4ck
- Testpoint / AFT3$tH4ck
- Testpoint / AFT3$tH4ckmet0d4yaga!n
Algunos de los nombres de usuario y contraseñas de administrador creados por las cargas útiles detectadas en la actividad se muestran a continuación:
Este incidente subraya la necesidad de aplicar parches rápidamente en la infraestructura crítica, ya que una explotación generalizada podría producirse poco después de los ataques dirigidos iniciales. Las actualizaciones de esta noticia incluirán cualquier respuesta oficial de Fortinet.