CISA suma a su catálogo KEV fallas activas en Fortinet y BeyondTrust

Una es un path traversal que según TheHackerNews ya se usa para desplegar el malware PEERSTITCH en FortiOS; la otra es un día cero en BeyondTrust Remote Support que CISA y CSA Labs confirman explotado para tomar control de servidores de soporte remoto. Fortinet es uno de los firewalls y VPN más desplegados en Chile.

Qué pasó

El 16 de octubre de 2026, CISA agregó dos vulnerabilidades a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) tras confirmar evidencia de explotación activa:

• CVE-2025-61624 — Path traversal en múltiples productos Fortinet.
• CVE-2026-102764 — Bypass de autenticación por suplantación (*spoofing*) en BeyondTrust Remote Support.

CISA recuerda que el KEV obliga a las agencias del Poder Ejecutivo Civil Federal de EE.UU. (FCEB) a priorizar la remediación bajo la Directiva Operacional Vinculante BOD 26-04. El extracto disponible del aviso no especifica un plazo de remediación concreto, así que no lo citamos como dato — solo lo señalamos como el mecanismo que explica por qué CISA actúa con esta urgencia.

Para CVE-2026-102764, el propio CISA publicó el mismo día un aviso específico instando a parchar BeyondTrust Remote Support, y CSA Labs documentó el caso bajo el nombre interno *Armory Castle*, describiéndolo como una toma de control de servidores de soporte remoto. TheHackerNews reporta que la explotación fue atribuida a un actor vinculado a China — atribución que tratamos como evaluación, no como hecho confirmado (ver más abajo).

Para CVE-2025-61624, TheHackerNews reporta que la falla se usó para desplegar PEERSTITCH, descrito como un implante que corre en memoria dentro de procesos de FortiOS y que logra sortear validaciones de sesiones VPN SSL etiquetadas (*tagged*). Este vínculo específico CVE–malware proviene de una sola fuente derivada hasta ahora; lo marcamos con confianza media.

Por qué importa acá

Fortinet —FortiGate, FortiOS, FortiProxy— es uno de los firewalls y concentradores VPN más desplegados en Chile: está presente en banca, retail, servicios públicos y en buena parte de las pymes que tercerizan su borde perimetral con integradores locales. Una falla de path traversal explotada activamente en ese ecosistema no es un problema teórico para el mercado chileno: es exactamente el tipo de superficie —dispositivo de borde expuesto a internet— que la Ley 21.663 obliga a monitorear y reportar cuando la organización calza como OIV.

BeyondTrust Remote Support es menos masivo en Chile, pero es una herramienta típica de mesas de ayuda y proveedores de soporte gestionado (MSP) que sí operan localmente con acceso privilegiado a redes de clientes. Si un proveedor de soporte remoto chileno usa esta plataforma y no ha parchado, el riesgo no es solo para él: es para cada cliente al que ese proveedor tiene acceso.

Evaluación — confianza alta: cualquier organización chilena con FortiGate/FortiOS expuesto a internet para administración o VPN SSL debe asumir que está dentro de la ventana de explotación activa desde que CISA confirmó el KEV, haya sido o no blanco específico. La alternativa —que el riesgo se limite a agencias federales de EE.UU.— no es sostenible: ninguno de los reportes disponibles acota la explotación geográficamente, y el patrón de ataques contra Fortinet este mes (ver correlación) tampoco lo hace.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — Ambas fallas se explotan contra aplicaciones expuestas a internet: el panel de administración/VPN de Fortinet y el servidor de BeyondTrust Remote Support.
• T1133 — BeyondTrust Remote Support es por diseño un servicio de acceso remoto externo; tomado el control, se convierte en un canal de persistencia hacia las redes de los clientes del proveedor de soporte.
• T1212 — El bypass de autenticación por suplantación en CVE-2026-102764 elimina la necesidad de credenciales válidas para obtener acceso administrativo.
• T1005 — Un path traversal exitoso en Fortinet puede permitir lectura de archivos de configuración o credenciales almacenadas localmente en el dispositivo.
• T1055 — Confianza baja: según una única fuente derivada, el malware PEERSTITCH operaría como implante residente en memoria dentro de procesos de FortiOS. Lo incluimos como hipótesis a vigilar, no como hecho confirmado.

title: Posible path traversal contra portal Fortinet
id: 7c3e9f12-4b6a-4d8e-9a1f-2d5c8e7b3a60
status: experimental
description: Detecta secuencias de path traversal en peticiones HTTP dirigidas a interfaces de administración o VPN SSL de Fortinet, patrón asociado a la explotación de CVE-2025-61624.
references:
  - https://www.cve.org/CVERecord?id=CVE-2025-61624
logsource:
  category: proxy
detection:
  selection:
    cs-uri-query|contains:
      - '../'
      - '..%2f'
      - '%2e%2e/'
      - '..\\'
  condition: selection
fields:
  - src_ip
  - dest_ip
  - cs-uri-query
  - http_user_agent
falsepositives:
  - Escaneos de vulnerabilidades autorizados
  - Pruebas de pentesting interno programadas
level: high

CommonSecurityLog
| where DeviceVendor == "Fortinet"
| where isnotempty(RequestURL)
| where RequestURL has_any ("../", "..%2f", "%2e%2e/")
| project TimeGenerated, SourceIP, DestinationIP, RequestURL, DeviceAction, DeviceName

index=proxy OR index=fortinet sourcetype=fortigate_traffic
| search uri="*../*" OR uri="*%2e%2e%2f*" OR uri="*..%2f*"
| table _time src_ip dest_ip uri action

title: Creacion de cuenta privilegiada en BeyondTrust Remote Support
id: 9f1a3c5e-6d2b-4e9f-8c7a-3b5d9e2f1a84
status: experimental
description: Detecta eventos de creacion o escalamiento de cuentas con privilegios administrativos en BeyondTrust Remote Support, patron relevante tras la explotacion de CVE-2026-102764.
references:
  - https://www.cve.org/CVERecord?id=CVE-2026-102764
logsource:
  category: application
  product: beyondtrust
  service: remote-support
detection:
  selection:
    EventType: 'PrivilegedAccountCreated'
  condition: selection
fields:
  - UserName
  - SourceIP
  - EventType
falsepositives:
  - Cambios autorizados de administracion de la consola
  - Onboarding legitimo de nuevos tecnicos de soporte
level: medium

SELECT UserName, SourceIP, EventType, DATEFORMAT(startTime, 'YYYY-MM-dd HH:mm:ss') AS Hora
FROM events
WHERE LOGSOURCETYPENAME(devicetype) ILIKE '%BeyondTrust%'
AND EventType ILIKE '%Privileged%Account%Created%'
LAST 24 HOURS

Fuentes

• CISACISA Adds Two Known Exploited Vulnerabilities to Catalog · 2026-10-16
• CISACISA Urges Patching Critical Vulnerability in BeyondTrust Remote Support · 2026-10-16
• CSA LabsBeyondTrust Remote Support Zero-Day: Armory Castle Appliance Takeover · 2026-10-18
• CSA LabsCISO Daily Briefing - 2026-10-18 · 2026-10-18
• TheHackerNewsChina-Linked Hackers Exploited BeyondTrust Zero-Day to Take Over Remote Support Servers · 2026-10-16
• TheHackerNewsPEERSTITCH Malware Deployed via FortiOS Flaw Bypasses Checks on Tagged VPN Sessions · 2026-10-16
• CSA LabsPEERSTITCH: Memory-Resident Implant Hiding in FortiOS Daemons (nota de investigación, vínculo con la CVE no confirmado de forma independiente) · 2026-10-18
• CVE.orgCVE-2025-61624 — Fortinet Multiple Products Path Traversal Vulnerability · 2026-10-16
• CVE.orgCVE-2026-102764 — BeyondTrust Remote Support Authentication Bypass by Spoofing Vulnerability · 2026-10-16
• Segu-InfoAdvierte que FortiBleed sigue activo tras recopilar 86.644 credenciales de dispositivos Fortinet · 2026-10-07

Relacionado