# Cortafuegos de la oficina: las actualizaciones críticas de octubre

> Fortinet, WatchGuard, Palo Alto y Citrix corrigen fallos críticos en sus cortafuegos. Qué versión instalar, cómo ver la tuya y qué pedir a tu proveedor.

Cuatro fabricantes de **cortafuegos** han publicado en una semana correcciones críticas: Fortinet, el 22 de octubre de 2026, para FortiOS, el sistema de sus FortiGate; WatchGuard, el 27, para Fireware OS, el de sus Firebox; y Palo Alto Networks y Citrix, entre el 23 y el 28, para PAN-OS y NetScaler. INCIBE-CERT califica todos los avisos de importancia crítica. El cortafuegos (firewall) es el equipo que separa la red de la oficina de internet y, a menudo, el que da entrada a la VPN de quien teletrabaja.

**En resumen**

1. WatchGuard ha corregido siete fallos de Fireware OS, seis de ellos críticos, en las versiones 2026.4, 12.12.4 y, para los modelos T15 y T35, 12.5.22; varios solo afectan si están activadas funciones concretas, como el proxy SIP o Access Portal.
2. Fortinet ha publicado FortiOS 8.0.2, 7.6.8, 7.4.13 y 7.2.14 sin detallar todavía los fallos que corrige, y anuncia que publicará sus boletines técnicos el 10 de noviembre de 2026.
3. WatchGuard y Fortinet no indican ataques contra estos fallos; mientras no se actualice, Fortinet, Citrix e INCIBE-CERT recomiendan que la administración del equipo solo sea accesible desde redes de confianza.


## Vulnerabilidades en cortafuegos Fortinet y WatchGuard: qué ha pasado

En una asesoría de Murcia, el cortafuegos es una caja con luces verdes, junto al router, que el proveedor informático instaló hace unos años. Por ella pasan el correo, la banca online y la VPN de las dos personas que trabajan desde casa los viernes. Nadie ha vuelto a mirarla desde entonces. Esta semana, cuatro fabricantes de cajas como esa han publicado correcciones críticas.

Los cortafuegos son un objetivo habitual. Solo en octubre de 2026, la agencia de ciberseguridad de Estados Unidos (CISA) añadió a su catálogo de vulnerabilidades explotadas fallos de Citrix NetScaler (4 de octubre), PAN-OS (14 de octubre) y FortiOS (16 de octubre), que repasamos en [lo que una pyme debe parchear en octubre](/actualidad/parches-octubre-2026/). Los fallos de esta semana son otros, y se suman a aquellos.

### Qué ha publicado cada fabricante

| Fabricante y equipo | Versión que corrige los fallos | ¿Hay ataques conocidos? | Aviso de INCIBE-CERT |
|---|---|---|---|
| WatchGuard Firebox (Fireware OS) | 2026.4; 12.12.4; 12.5.22 en los modelos T15 y T35 | WatchGuard no tiene constancia | INCIBE-2026-798, 28 de octubre |
| Fortinet FortiGate (FortiOS) | 8.0.2; 7.6.8; 7.4.13; 7.2.14 | Fortinet no lo indica; dará los detalles el 10 de noviembre | INCIBE-2026-779, 23 de octubre |
| Palo Alto Networks (PAN-OS) | Una corrección por rama; algunas llegan entre el 29 y el 30 de octubre | El fallo de Brotli figura como explotado en el catálogo de la CISA desde el 27 de octubre | INCIBE-2026-775 y 793, 23 y 27 de octubre |
| Citrix NetScaler ADC y Gateway | 14.1-73.49; 13.1-64.32 | Los dos fallos de PHP que corrige figuran como explotados en el catálogo de la CISA desde el 26 de octubre | INCIBE-2026-799, 28 de octubre |

Las versiones corregidas son las mismas en España y en América Latina. Lo que cambia de un caso a otro es quién las instala: a menudo, el proveedor que mantiene el equipo.

### 1. WatchGuard Firebox: depende de lo que tengas activado

WatchGuard ha corregido siete fallos de Fireware OS, comunicados por su propio equipo de investigación y por el investigador Laurent Gaffie. Seis son críticos y uno alto. Casi todos exigen que esté activada una función concreta, así que lo primero es saber cuáles usa tu Firebox:

| Función del Firebox | Para qué sirve | Qué permitiría el fallo |
|---|---|---|
| Proxy SIP | Telefonía por internet (VoIP) que pasa por el Firebox | Ejecutar código sin credenciales con una petición manipulada (CVE-2026-93857) |
| Access Portal | Portal web para entrar desde fuera en aplicaciones internas | Escribir fuera de la memoria prevista sin credenciales (CVE-2026-93866) |
| FireCluster | Dos Firebox que se relevan si uno falla | Ordenar acciones de administrador sin autenticarse, a través de la IP de gestión del clúster (CVE-2026-93865) |
| Autenticación con Active Directory | Iniciar sesión con las cuentas de Windows de la empresa | Ejecutar código, si el atacante controla el servidor de Active Directory o intercepta sus respuestas (CVE-2026-112709 y CVE-2026-112710) |
| FireCloud Gateway | Conectar la oficina con FireCloud, el servicio en la nube de WatchGuard | Ejecutar código, aunque exige interceptar el tráfico descifrado entre el Firebox y WatchGuard Cloud (CVE-2026-103594) |

El séptimo fallo, de severidad alta, está en el servicio de registros (CVE-2026-103593). La corrección es la misma para todos: Fireware OS 2026.4 en la línea 2025/2026, 12.12.4 en la línea 12.x y 12.5.22 en los modelos T15 y T35.

Para ver qué versión tienes, entra en Fireware Web UI: la página **Front Panel** muestra el nombre, el modelo y la versión de Fireware OS, y desde la versión 12.11.2 avisa con **Upgrade Available** cuando hay una nueva. Si el Firebox se gestiona desde WatchGuard Cloud, la actualización se hace desde allí.

WatchGuard advierte de que la actualización puede tardar hasta 15 minutos, de que no hay que cortar la corriente mientras dura y de que el equipo se reinicia solo al terminar. Cuenta con que, mientras tanto, la conexión que pasa por el Firebox se corte, VPN incluida: mejor fuera del horario de trabajo. Desde la versión 12.2.1, el propio proceso guarda en el equipo una imagen de copia, la que permite volver a la versión anterior si algo falla.

### 2. Fortinet FortiGate: actualizar antes del 10 de noviembre

Fortinet ha seguido otro camino. El 21 de octubre anunció una tanda de actualizaciones, publicada al día siguiente, que corrige fallos críticos y altos encontrados con pruebas asistidas por inteligencia artificial, sin decir todavía cuáles son. Los boletines técnicos, con sus identificadores y su gravedad, llegarán el 10 de noviembre de 2026. Fortinet explica que adelanta las correcciones para que se apliquen antes de que alguien pueda encontrar y explotar esos fallos, y pide empezar por los equipos expuestos a internet.

| Rama de FortiOS | Versiones afectadas | Versión corregida |
|---|---|---|
| 8.0 | 8.0.0 a 8.0.1 | 8.0.2 o posterior |
| 7.6 | 7.6.0 a 7.6.7 | 7.6.8 o posterior |
| 7.4 | 7.4.0 a 7.4.12 | 7.4.13 o posterior |
| 7.2 | 7.2.0 a 7.2.13 | 7.2.14 o posterior |

La misma tanda incluye FortiManager, FortiAnalyzer, FortiMail y FortiAuthenticator. En FortiMail, la rama 7.2 no tendrá corrección: hay que pasar a la 7.4 o posterior.

En la interfaz del FortiGate, la versión aparece en **Dashboard > Status**, en el campo **Firmware** del recuadro **System Information**, que avisa cuando sale una versión nueva. La actualización se hace en **System > Firmware & Registration**.

¿Y si tu FortiGate no tiene contrato de soporte en vigor? Según la documentación de Fortinet, desde FortiOS 7.4.9 y 7.6.4, un FortiGate sin licencia válida de actualizaciones de firmware, o cuya rama ya no recibe soporte de ingeniería, programa por sí mismo la actualización al último parche de su rama: de la 7.4.9 pasaría a la última 7.4, nunca a la 7.6. Esa actualización no se puede cancelar, pero sí aplazar por periodos de siete días. Conviene saber cuándo está programada para que no llegue en plena jornada.

Si no puedes actualizar enseguida, Fortinet recomienda limitar la administración por HTTPS y SSH a direcciones IP de confianza, o desactivarla en las interfaces que dan a internet, exigir verificación en dos pasos (MFA) a todas las cuentas de administrador y no dejar FortiManager accesible desde internet. INCIBE-CERT añade guardar una copia de la configuración antes de actualizar.

### 3. Si tu cortafuegos es de Palo Alto o de Citrix

**Palo Alto Networks** acumula dos avisos. El primero, del 23 de octubre, se debe a los fallos de PHP que explicamos en [este artículo sobre PHP](/actualidad/php-vulnerabilidad-critica/): en PAN-OS afectan a la interfaz web de administración, y el fabricante los valora como un riesgo para la disponibilidad del equipo. El segundo, del 27 de octubre, está en el decodificador Brotli, un formato de compresión, y solo expone al equipo si tiene activadas a la vez la inspección de Brotli y el descifrado TLS/SSL. Hay una corrección por rama de PAN-OS, y algunas llegan el 29 y el 30 de octubre. Ojo con la 11.2.10: la 11.2.10-h16 corrige PHP, pero hace falta la 11.2.10-h17 para corregir también Brotli. Como medida provisional, INCIBE-CERT recoge cómo desactivar Brotli y recomienda limitar la administración a direcciones internas de confianza.

**Citrix** corrige los mismos fallos de PHP en NetScaler ADC y NetScaler Gateway, que se usa como puerta de acceso remoto. Afectan a las interfaces de administración, y las versiones corregidas son la 14.1-73.49 y la 13.1-64.32, con sus equivalentes FIPS. Citrix pide bloquear el acceso a la administración desde internet; sus servicios en la nube ya están corregidos.

### Lo que vale para cualquier marca

- **La administración, nunca abierta a internet.** El panel desde el que se configura el cortafuegos debería abrirse solo desde la red de la oficina. Fortinet, Citrix e INCIBE-CERT lo piden expresamente mientras se actualiza.
- **Verificación en dos pasos en las cuentas de administrador.** Una contraseña filtrada no debería bastar para entrar en el equipo que protege todos los demás; en nuestra guía sobre la [verificación en dos pasos](/guias/almacenamiento-en-la-nube/seguridad/verificacion-en-dos-pasos/) explicamos por qué.
- **Copia de la configuración antes de tocar nada**, para volver atrás si la actualización da problemas.
- **Fuera de horario y con aviso.** La VPN cae mientras el equipo se reinicia: quien teletrabaja tiene que saberlo antes.
- **Un equipo sin correcciones no se arregla con un parche.** Si el fabricante ya no publica versiones para tu rama o tu modelo, como FortiMail 7.2, toca migrar o cambiar de equipo.

### El mensaje para tu proveedor

No necesitas entrar tú en el cortafuegos. Puedes copiar este mensaje:

> Hola: esta semana Fortinet, WatchGuard, Palo Alto Networks y Citrix han publicado correcciones críticas para sus cortafuegos (avisos de INCIBE-CERT del 23 al 28 de octubre de 2026). ¿Me confirmas cinco cosas? 1) Qué marca, modelo y versión de sistema tiene nuestro cortafuegos. 2) Si ya tiene instalada la versión corregida o qué día está previsto instalarla, fuera del horario de trabajo. 3) Si su administración es accesible desde internet. 4) Si las cuentas de administrador tienen verificación en dos pasos. 5) Si el contrato de soporte del fabricante está en vigor. Gracias.

### Lista para esta semana

1. Averigua la marca y el modelo de tu cortafuegos: suelen figurar en una etiqueta del propio equipo o en la factura del proveedor.
2. Envía el mensaje a tu proveedor y guarda su respuesta.
3. Si es un FortiGate, que esté actualizado antes del 10 de noviembre.
4. Si es un Firebox, pregunta cuáles de las funciones de la tabla tiene activadas.
5. Fija la actualización fuera de horario y avisa a quien teletrabaja.
6. Al día siguiente, comprueba desde casa que la VPN funciona.