-
Una falla crítica de ejecución remota sin autenticar en Orkes Conductor está bajo explotación activa (19/09)
CVE-2026-58138 tiene 9,8 en CVSS v3.1 y 9,3 en v4, y afecta a Orkes Conductor desde 3.21.21 hasta antes de 3.30.2. El problema es que el endpoint de la API de workflows acepta definiciones inline antes de autenticar, y esas definiciones pueden traer expresiones en JavaScript o Python que se evalúan con evaluadores GraalVM sin sandbox, configurados con HostAccess.ALL o allowAllAccess(true). Desde ahí, vía reflection de Java o llamadas directas a subprocesos, se ejecutan comandos arbitrarios del sistema operativo. Los tipos de tarea afectados son INLINE, LAMBDA, DO_WHILE y SWITCH. Fortinet emitió una alerta de brote esta semana. The Hacker News · NVD
-
Evooo1Bot: la botnet Linux que convierte routers de borde en nodos de relay SOCKS5 (15/08)
Fortinet detalló una botnet modular basada en el código filtrado de Mirai que desde al menos julio ataca equipos de Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare y D-Link explotando vulnerabilidades ya conocidas. Va mucho más allá del DDoS heredado: C2 cifrado por el puerto 443, fuerza bruta SSH con 150 combinaciones orientadas a cuentas empresariales, un sniffer que monitorea /proc/net/tcp para capturar encabezados HTTP Basic Auth y Cookie, y un módulo SOCKS5 con modo directo e inverso que permite ocultar tráfico, saltear restricciones geográficas o entrar a redes internas a través de equipos comprometidos. Trae 12 builds según arquitectura, persistencia por systemd, SysV init, perfiles de shell y rc.local, un cron que redescarga el payload cada 5 minutos, y chequeos anti-debugger, anti-sandbox, anti-VM y anti-honeypot. Fortinet aclara que varios de los exploits nuevos están mal implementados y fallan. La mitigación es la de siempre y sigue sin hacerse: firmware al día, credenciales por defecto fuera, paneles de administración remota apagados. BleepingComputer · Fortinet
-
Citrix NetScaler bajo explotación masiva (CVE-2026-3055)
El equipo de inteligencia de amenazas de Fortinet confirmó explotación a gran escala de esta vulnerabilidad crítica (CVSS 9.8) de lectura fuera de límites en NetScaler ADC/Gateway, que permite ejecución remota de código sin autenticación cuando el equipo actúa como SAML IDP. Importa por la enorme superficie de exposición de los NetScaler en internet y la criticidad del acceso que otorga. Cybersecurity Dive · NVD
-
FortiBleed: más de 86.000 firewalls Fortinet comprometidos
Una campaña a gran escala extrajo archivos de configuración de dispositivos FortiGate expuestos a internet y crackeó offline (con infraestructura de 45 GPUs) los hashes SHA-256 débiles que quedan tras upgrades de FortiOS, obteniendo credenciales de administrador y VPN válidas en más de 86.000 equipos de 194 países —cerca del 50% de los FortiGate accesibles. CISA pidió endurecer la configuración de inmediato. The Hacker News · CISA · SecurityWeek
-
FortiBleed: 30.000–75.000 credenciales de FortiGate en riesgo
Una campaña activa identificada a mediados de junio extrae archivos de configuración de firewalls FortiGate expuestos a internet y crackea los hashes de credenciales almacenados, obteniendo credenciales de administrador válidas para entre 30.000 y 75.000 dispositivos en 194 países. Conviene rotar credenciales y revisar exposición de los FortiGate. Arctic Wolf
-
FortiBleed y otras brechas activas
CISA alertó sobre una campaña ("FortiBleed") que comprometió ~86.644 appliances FortiGate al 19/06. Salesforce desactivó la integración de la app "Klue Battlecards" el 11/06 tras detectar actividad anómala con posible acceso no autorizado a datos de clientes. Sigue el coletazo del robo por ShinyHunters de ~275M de registros de estudiantes y personal educativo (8.809 distritos/universidades). TechCrunch · Breachsense