CISA incorporó CVE-2025-61624 a su catálogo de vulnerabilidades explotadas después de que investigadores describieran su uso para escalar privilegios en firewalls FortiGate e instalar PEERSTITCH, un implante que opera en memoria. El incidente comenzó con el compromiso del FortiManager de un proveedor de telecomunicaciones y expuso configuraciones de más de 500 dispositivos.
***

• La falla, de severidad media y explotación autenticada, permite a un administrador con permisos de lectura y escritura manipular archivos y escalar privilegios.
• Los atacantes robaron configuraciones y credenciales de más de 500 firewalls administrados; PEERSTITCH llegó solo a un grupo selecto de dispositivos.
• CISA fijó el 19 de octubre de 2026 como plazo para que las agencias federales de EE. UU. atiendan la vulnerabilidad.

🚨 Fortinet: falla en FortiOS permitió instalar PEERSTITCH

Atacantes robaron configuraciones y credenciales de más de 500 FortiGate gestionados.

CVE-2025-61624 permitió escalar a root en algunos equipos. CISA la añadió a su catálogo KEV.

No se confirmó acceso a redes de… pic.twitter.com/LuL7LoOmVk

— Diario฿itcoin (@DiarioBitcoin) October 19, 2026

Una vulnerabilidad autenticada que Fortinet clasifica como de severidad media se convirtió en una vía para pasar de administrador a root y desplegar un implante oculto en firewalls FortiGate.

Fortinet: una falla en FortiOS permitió instalar el implante PEERSTITCH

La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) incorporó el 16 de octubre de 2026 la vulnerabilidad CVE-2025-61624 a su catálogo de Vulnerabilidades Conocidas Explotadas, conocido como KEV. La inclusión establece para las agencias federales estadounidenses una fecha límite de atención del 19 de octubre, mientras que el caso también pone el foco en el riesgo que entraña comprometer una plataforma central de administración de firewalls.

El análisis de Palo Alto Networks Unit 42 describe una intrusión contra un proveedor de servicios gestionados de telecomunicaciones. Según esos hallazgos, los atacantes robaron configuraciones y credenciales de más de 500 firewalls FortiGate administrados por el proveedor, y luego usaron la vulnerabilidad en algunos dispositivos para elevar privilegios e instalar PEERSTITCH. La investigación no confirma que el implante haya llegado a las redes de los clientes del proveedor.

Una vulnerabilidad autenticada llega al catálogo KEV

Fortinet publicó la falla el 14 de abril de 2026 con el identificador de aviso FG-IR-26-122 y la clasificó como un problema de recorrido de ruta en la interfaz de línea de comandos. El error afecta a FortiOS, FortiProxy, FortiPAM y FortiSwitchManager, y permite que un usuario privilegiado manipule archivos mediante argumentos elaborados en comandos existentes. Su explotación requiere una cuenta de administrador con permisos de lectura y escritura, por lo que no se trata de una vulnerabilidad que, por sí sola, entregue acceso a cualquier atacante remoto.

La diferencia entre esa condición técnica y el impacto observado está en lo que sucede después de obtener credenciales administrativas. Unit 42 describió cómo los intrusos aprovecharon la falla para pasar de administrador de FortiOS a root en firewalls seleccionados, un nivel de privilegio que facilitó la instalación de PEERSTITCH. Fortinet clasifica la consecuencia como escalada de privilegios y asigna a CVE-2025-61624 una puntuación CVSS 3.1 de 6,0, correspondiente a severidad media.

Las puntuaciones publicadas no son idénticas: la National Vulnerability Database (NVD) asigna 6,5, también dentro de la categoría media, mientras que el valor 5,4 que aparece en algunas coberturas corresponde a una puntuación temporal de Fortinet. CISA incorporó la falla al catálogo KEV sobre la base de evidencia de explotación activa. La inclusión no significa que todos los productos afectados estén comprometidos ni que cada instalación vulnerable haya sufrido un ataque.

Para las entidades federales alcanzadas por la directiva, la fecha del 19 de octubre de 2026 constituye un plazo concreto para corregir el problema. Para otras organizaciones, la alerta también ofrece una señal para revisar tanto la versión instalada como el estado de las credenciales administrativas.

La cadena de intrusión pasó por FortiManager

Unit 42 atribuye la actividad al clúster CL-STA-0954, también rastreado como UNC5820, y sitúa la intrusión en septiembre de 2024, con una duración prolongada. El punto de entrada descrito fue el FortiManager central del proveedor, comprometido mediante FortiJump, una falla de FortiManager de 2024. La cronología requiere cautela: el informe no proporciona una fecha separada para el uso de CVE-2025-61624, y no corresponde asumir que la vulnerabilidad se explotó en septiembre de 2024.

Tras entrar en la plataforma de gestión, los atacantes obtuvieron configuraciones, archivos de bases de datos y material criptográfico relacionados con más de 500 firewalls FortiGate administrados. Ese conjunto abarcaba dispositivos de la propia infraestructura del proveedor y de las redes de sus clientes. A partir de los datos sustraídos, recuperaron contraseñas de administrador y de SSL-VPN, que luego emplearon para iniciar sesión en equipos bajo gestión.

La secuencia muestra por qué el compromiso de una consola central puede extender el riesgo más allá de la organización que la opera. Una plataforma de administración concentra información de acceso y configuraciones de múltiples dispositivos; por ello, las credenciales expuestas pueden servir para ingresar a sistemas que, individualmente, no fueron vulnerados desde una conexión externa. En este caso, la escalada mediante CVE-2025-61624 se produjo en firewalls seleccionados, no en la totalidad de los más de 500 equipos cuyas configuraciones fueron robadas.

La investigación distingue expresamente entre la sustracción de material y una intrusión confirmada en las redes de los clientes. Unit 42 no examinó esas redes, de modo que describe la exposición de los clientes como un riesgo derivado de configuraciones y credenciales comprometidas, no como prueba de que los atacantes ingresaran a sus entornos. También señala que la actividad posterior a la explotación presenta coincidencias con intrusiones atribuidas a presuntos actores estatales, pero no identifica ningún país.

PEERSTITCH opera en memoria y deja señales particulares

Los atacantes desplegaron PEERSTITCH, un implante para arquitectura ARM64 que, según la investigación, se engancha a los procesos miglogd, relacionado con el registro, e iked, asociado con IKE y VPN. La descripción destaca su bajo perfil: no deja binarios persistentes en el disco, no abre puertos de escucha ni inicia conexiones de red salientes. Esa combinación puede dificultar la detección si la respuesta se limita a buscar archivos nuevos o conexiones externas iniciadas por el dispositivo.

La ausencia de esos comportamientos no equivale a que el equipo sea inocuo ni a que no existan rastros examinables. Unit 42 recomienda revisar cambios de configuración en busca de objetos system.auto-script cuyos nombres contengan secuencias de recorrido de ruta, además de inspeccionar registros de fallos por errores de segmentación que involucren miglogd, iked o syslogd. Rescana agrega, como inferencias propias y no como instrucciones de Unit 42, la búsqueda de cuentas de administrador inesperadas, sesiones SSL-VPN desde fuentes desconocidas y reglas de captura de paquetes que el equipo de seguridad no haya creado.

Entre los indicadores publicados figuran las direcciones IP 23[.]240[.]77[.]233 y 47[.]18[.]167[.]159, vinculadas con alojamientos del instalador de PEERSTITCH y con preparativos de SSL-VPN. También aparecen 45[.]32[.]41[.]202 y 198[.]199[.]122[.]22, asociadas a dispositivos FortiGate fraudulentos registrados en FortiManager. El informe identifica además las rutas hxxp[:]//23[.]240[.]77[.]233:8085/pM.js y hxxp[:]//47[.]18[.]167[.]159:8085/pM.js como stagers del implante.

El hash SHA-256 b9fb0b27ddd59b58d3ae53c7227298a3e0de1e6f868b9429ae21533bb9cd1e70 corresponde al inyector central de PEERSTITCH; Unit 42 publica otros siete hashes de componentes en su informe. Los nombres de archivo señalados son lldprx, pM.js, index.js, index.wasm e ipssem.js. La investigación también menciona una cuenta de administrador llamada FortiGateCloud y un dispositivo fraudulento llamado localhost, con número de serie FMG-VMTM23017412; recomienda validar los indicadores antes de bloquearlos y señala que publicó una regla YARA, sin ofrecer un mapeo MITRE ATT&CK.

Versiones afectadas y pasos para reducir el riesgo

En FortiOS 7.6, las versiones afectadas van de la 7.6.0 a la 7.6.4 y la corrección comienza en 7.6.5; para la rama 7.4, el rango vulnerable va de 7.4.0 a 7.4.9 y la solución parte de 7.4.10. Todas las versiones de FortiOS 7.2, 7.0 y 6.4 aparecen afectadas y deben migrar a una versión corregida. La recomendación general es verificar las ramas instaladas y seguir la ruta de actualización de Fortinet.

FortiProxy 7.6.0 a 7.6.4 requiere actualizar a 7.6.5 o posterior, mientras que las versiones 7.4.0 a 7.4.11 deben pasar a 7.4.12 o una versión superior. Todas las versiones de FortiProxy 7.2 y 7.0 están afectadas y requieren migración. En FortiPAM, el problema alcanza a la versión 1.7.0, corregida desde 1.7.1, y a todas las versiones de 1.0 a 1.6; la rama 1.8 no está afectada.

FortiSwitchManager 7.2.0 a 7.2.7 necesita actualizarse a 7.2.8 o posterior, y las versiones 7.0.0 a 7.0.6 deben migrar a 7.0.7 o superior. Fortinet ofrece como mitigación provisional un parche virtual llamado FG-VD-59270.0day, disponible en la actualización de base de datos FMWP 25.120. Esa medida no reemplaza la actualización del software, y las organizaciones también deben revisar que FortiManager esté corregido frente a FortiJump, el fallo que, según la investigación, abrió el acceso inicial en este incidente.

El análisis aconseja tratar como comprometidos los datos de administración que conserva una plataforma de gestión una vez que esa plataforma ha sido vulnerada, pues aplicar un parche no revierte por sí mismo el robo previo. Rescana recomienda rotar las contraseñas de administrador de FortiGate y de SSL-VPN, además del material de confianza de FortiManager; esa recomendación corresponde a Rescana y no debe confundirse con una instrucción atribuida a Fortinet o a Unit 42. También conviene comprobar quién puede acceder desde Internet a las interfaces de administración y gestión de firewalls.

Para organizaciones que dependen de proveedores o MSP, la revisión debería identificar quién administra sus FortiGate y si usa FortiManager para proteger esos entornos. Las preguntas relevantes incluyen si las versiones de FortiOS, FortiProxy, FortiPAM y FortiSwitchManager alcanzan las correcciones de FG-IR-26-122, si FortiManager recibió el parche contra FortiJump y si el proveedor verificó los objetos de script automático y rotó credenciales y material de confianza. El incidente recuerda que una falla de severidad media puede escalar cuando una plataforma central expone accesos reutilizables a cientos de dispositivos.

ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín