Cortafuegos de la oficina: las actualizaciones críticas de octubre

Vulnerabilidades en cortafuegos Fortinet y WatchGuard: qué ha pasado

En una asesoría de Murcia, el cortafuegos es una caja con luces verdes, junto al router, que el proveedor informático instaló hace unos años. Por ella pasan el correo, la banca online y la VPN de las dos personas que trabajan desde casa los viernes. Nadie ha vuelto a mirarla desde entonces. Esta semana, cuatro fabricantes de cajas como esa han publicado correcciones críticas.

Los cortafuegos son un objetivo habitual. Solo en octubre de 2026, la agencia de ciberseguridad de Estados Unidos (CISA) añadió a su catálogo de vulnerabilidades explotadas fallos de Citrix NetScaler (4 de octubre), PAN-OS (14 de octubre) y FortiOS (16 de octubre), que repasamos en lo que una pyme debe parchear en octubre. Los fallos de esta semana son otros, y se suman a aquellos.

Qué ha publicado cada fabricante

Las versiones corregidas son las mismas en España y en América Latina. Lo que cambia de un caso a otro es quién las instala: a menudo, el proveedor que mantiene el equipo.

1. WatchGuard Firebox: depende de lo que tengas activado

WatchGuard ha corregido siete fallos de Fireware OS, comunicados por su propio equipo de investigación y por el investigador Laurent Gaffie. Seis son críticos y uno alto. Casi todos exigen que esté activada una función concreta, así que lo primero es saber cuáles usa tu Firebox:

El séptimo fallo, de severidad alta, está en el servicio de registros (CVE-2026-103593). La corrección es la misma para todos: Fireware OS 2026.4 en la línea 2025/2026, 12.12.4 en la línea 12.x y 12.5.22 en los modelos T15 y T35.

Para ver qué versión tienes, entra en Fireware Web UI: la página Front Panel muestra el nombre, el modelo y la versión de Fireware OS, y desde la versión 12.11.2 avisa con Upgrade Available cuando hay una nueva. Si el Firebox se gestiona desde WatchGuard Cloud, la actualización se hace desde allí.

WatchGuard advierte de que la actualización puede tardar hasta 15 minutos, de que no hay que cortar la corriente mientras dura y de que el equipo se reinicia solo al terminar. Cuenta con que, mientras tanto, la conexión que pasa por el Firebox se corte, VPN incluida: mejor fuera del horario de trabajo. Desde la versión 12.2.1, el propio proceso guarda en el equipo una imagen de copia, la que permite volver a la versión anterior si algo falla.

2. Fortinet FortiGate: actualizar antes del 10 de noviembre

Fortinet ha seguido otro camino. El 21 de octubre anunció una tanda de actualizaciones, publicada al día siguiente, que corrige fallos críticos y altos encontrados con pruebas asistidas por inteligencia artificial, sin decir todavía cuáles son. Los boletines técnicos, con sus identificadores y su gravedad, llegarán el 10 de noviembre de 2026. Fortinet explica que adelanta las correcciones para que se apliquen antes de que alguien pueda encontrar y explotar esos fallos, y pide empezar por los equipos expuestos a internet.

La misma tanda incluye FortiManager, FortiAnalyzer, FortiMail y FortiAuthenticator. En FortiMail, la rama 7.2 no tendrá corrección: hay que pasar a la 7.4 o posterior.

En la interfaz del FortiGate, la versión aparece en Dashboard > Status, en el campo Firmware del recuadro System Information, que avisa cuando sale una versión nueva. La actualización se hace en System > Firmware & Registration.

¿Y si tu FortiGate no tiene contrato de soporte en vigor? Según la documentación de Fortinet, desde FortiOS 7.4.9 y 7.6.4, un FortiGate sin licencia válida de actualizaciones de firmware, o cuya rama ya no recibe soporte de ingeniería, programa por sí mismo la actualización al último parche de su rama: de la 7.4.9 pasaría a la última 7.4, nunca a la 7.6. Esa actualización no se puede cancelar, pero sí aplazar por periodos de siete días. Conviene saber cuándo está programada para que no llegue en plena jornada.

Si no puedes actualizar enseguida, Fortinet recomienda limitar la administración por HTTPS y SSH a direcciones IP de confianza, o desactivarla en las interfaces que dan a internet, exigir verificación en dos pasos (MFA) a todas las cuentas de administrador y no dejar FortiManager accesible desde internet. INCIBE-CERT añade guardar una copia de la configuración antes de actualizar.

3. Si tu cortafuegos es de Palo Alto o de Citrix

Palo Alto Networks acumula dos avisos. El primero, del 23 de octubre, se debe a los fallos de PHP que explicamos en este artículo sobre PHP: en PAN-OS afectan a la interfaz web de administración, y el fabricante los valora como un riesgo para la disponibilidad del equipo. El segundo, del 27 de octubre, está en el decodificador Brotli, un formato de compresión, y solo expone al equipo si tiene activadas a la vez la inspección de Brotli y el descifrado TLS/SSL. Hay una corrección por rama de PAN-OS, y algunas llegan el 29 y el 30 de octubre. Ojo con la 11.2.10: la 11.2.10-h16 corrige PHP, pero hace falta la 11.2.10-h17 para corregir también Brotli. Como medida provisional, INCIBE-CERT recoge cómo desactivar Brotli y recomienda limitar la administración a direcciones internas de confianza.

Citrix corrige los mismos fallos de PHP en NetScaler ADC y NetScaler Gateway, que se usa como puerta de acceso remoto. Afectan a las interfaces de administración, y las versiones corregidas son la 14.1-73.49 y la 13.1-64.32, con sus equivalentes FIPS. Citrix pide bloquear el acceso a la administración desde internet; sus servicios en la nube ya están corregidos.

Lo que vale para cualquier marca

• La administración, nunca abierta a internet. El panel desde el que se configura el cortafuegos debería abrirse solo desde la red de la oficina. Fortinet, Citrix e INCIBE-CERT lo piden expresamente mientras se actualiza.
• Verificación en dos pasos en las cuentas de administrador. Una contraseña filtrada no debería bastar para entrar en el equipo que protege todos los demás; en nuestra guía sobre la verificación en dos pasos explicamos por qué.
• Copia de la configuración antes de tocar nada, para volver atrás si la actualización da problemas.
• Fuera de horario y con aviso. La VPN cae mientras el equipo se reinicia: quien teletrabaja tiene que saberlo antes.
• Un equipo sin correcciones no se arregla con un parche. Si el fabricante ya no publica versiones para tu rama o tu modelo, como FortiMail 7.2, toca migrar o cambiar de equipo.

El mensaje para tu proveedor

No necesitas entrar tú en el cortafuegos. Puedes copiar este mensaje:

Hola: esta semana Fortinet, WatchGuard, Palo Alto Networks y Citrix han publicado correcciones críticas para sus cortafuegos (avisos de INCIBE-CERT del 23 al 28 de octubre de 2026). ¿Me confirmas cinco cosas? 1) Qué marca, modelo y versión de sistema tiene nuestro cortafuegos. 2) Si ya tiene instalada la versión corregida o qué día está previsto instalarla, fuera del horario de trabajo. 3) Si su administración es accesible desde internet. 4) Si las cuentas de administrador tienen verificación en dos pasos. 5) Si el contrato de soporte del fabricante está en vigor. Gracias.

Lista para esta semana

1. Averigua la marca y el modelo de tu cortafuegos: suelen figurar en una etiqueta del propio equipo o en la factura del proveedor.
2. Envía el mensaje a tu proveedor y guarda su respuesta.
3. Si es un FortiGate, que esté actualizado antes del 10 de noviembre.
4. Si es un Firebox, pregunta cuáles de las funciones de la tabla tiene activadas.
5. Fija la actualización fuera de horario y avisa a quien teletrabaja.
6. Al día siguiente, comprueba desde casa que la VPN funciona.