Autenticación bajo asedio: SSO de Fortinet explotado mientras Microsoft retrocede en la retirada de SMTP

Los cimientos de la seguridad empresarial—la autenticación y el control de acceso—están mostrando grietas alarmantes desde dos frentes opuestos. Por un lado, una vulnerabilidad crítica en una solución moderna de Inicio de Sesión Único (SSO) está siendo explotada activamente, comprometiendo los mismos sistemas diseñados para agilizar y proteger el acceso. Por otro, la retirada de un protocolo con décadas de antigüedad y fundamentalmente inseguro se está retrasando, exponiendo a las organizaciones a un riesgo prolongado. Esta crisis dual subraya el estado frágil de la gestión de identidades en el ecosistema digital actual.

La falla crítica de SSO de Fortinet: CVE-2026-24858 en explotación activa

Fortinet, un actor principal en seguridad de red, se enfrenta actualmente a ataques activos en entornos reales dirigidos a una vulnerabilidad grave en su software FortiOS. Rastreada como CVE-2026-24858, esta falla reside dentro del portal de administrador SSO de FortiOS. La vulnerabilidad es particularmente peligrosa porque puede ser desencadenada por un atacante no autenticado, sin requerir acceso previo ni credenciales. Una explotación exitosa permite la ejecución de código o comandos arbitrarios en el sistema subyacente, pudiendo otorgar al atacante el control total del dispositivo Fortinet.

El portal de administrador SSO es un objetivo de alto valor. Comprometerlo podría permitir a los actores de amenazas manipular políticas de inicio de sesión único, crear cuentas de usuario con puertas traseras o pivotar hacia otros sistemas conectados dentro de la red de una organización. Fortinet ha publicado parches y avisos de seguridad instando a la acción inmediata. Sin embargo, la confirmación de la explotación activa en la naturaleza significa que cualquier demora en la aplicación de estos parches conlleva un riesgo significativo. Los equipos de seguridad que gestionan dispositivos Fortinet deben tratar esto con la máxima prioridad, verificando sus versiones y aplicando las actualizaciones sin demora. Este incidente sirve como un recordatorio contundente de que incluso las plataformas centradas en la seguridad que gestionan funciones críticas de autenticación no son inmunes a errores devastadores.

La retirada de Microsoft en SMTP: El protocolo heredado que se niega a morir

En una lucha paralela pero relacionada, Microsoft ha anunciado una revisión sustancial de su plan para retirar SMTP AUTH con Autenticación Básica en Exchange Online. El cronograma original, que preveía la desactivación del protocolo a finales de 2024, se ha retrasado. La nueva fecha límite final es ahora diciembre de 2025, lo que representa un retroceso de casi un año.

SMTP AUTH con Autenticación Básica es un método heredado para enviar correos a Exchange Online. Es notoriamente inseguro, ya que normalmente transmite nombres de usuario y contraseñas en texto claro o con codificación fácilmente reversible, lo que lo hace muy susceptible al robo de credenciales y a ataques de repetición (replay). Microsoft ha defendido durante mucho tiempo su reemplazo por la autenticación moderna (OAuth 2.0), que proporciona autenticación basada en tokens y cifrada sin enviar contraseñas directamente.

El retraso es una admisión pragmática del enorme desafío de migración. Innumerables aplicaciones heredadas, impresoras multifunción, escáneres y software de negocio aún dependen del antiguo método SMTP AUTH. Para muchas organizaciones, identificar y actualizar o reemplazar estos sistemas es una tarea compleja, que consume tiempo y es costosa. La extensión de Microsoft proporciona un respiro crucial, pero también amplía la ventana de vulnerabilidad. Las organizaciones deben utilizar este tiempo extra de manera estratégica, no como una excusa para la inacción. El uso continuado de la Autenticación Básica para SMTP sigue siendo un punto débil evidente en la postura de seguridad de una organización, a menudo explotado en campañas de phishing y ataques de relleno de credenciales (credential stuffing).

El 'patchwork' de autenticación: Riesgo sistémico e imperativos estratégicos

Estas dos historias, aunque de naturaleza diferente, son hilos de la misma tela: el 'patchwork' de autenticación empresarial. Revelan un panorama de seguridad atrapado entre la vanguardia y el pasado obsoleto.

La explotación de Fortinet demuestra que las puertas de enlace de autenticación modernas y consolidadas (SSO) son sistemas complejos que, cuando se comprometen, ofrecen a los atacantes una llave maestra. Por el contrario, el dilema del SMTP de Microsoft resalta la inmensa inercia de la tecnología heredada. Los protocolos inseguros se incrustan profundamente en los procesos de negocio, y su eliminación suele ser una pesadilla logística y financiera.

Esto crea una tormenta perfecta para los defensores. Deben parchear y defender con urgencia sistemas nuevos y sofisticados, mientras orquestan simultáneamente la retirada de otros antiguos y vulnerables, todo ello bajo ataque constante. La carga operativa es inmensa.

Guía práctica para equipos de seguridad

1. Administradores de Fortinet: Revisen inmediatamente todas las instancias de FortiOS, especialmente aquellas con la función SSO habilitada. Apliquen los parches relevantes para CVE-2026-24858 como una prioridad crítica. Supervisen los registros de autenticación para detectar cualquier actividad sospechosa dirigida al portal de administración.
2. Clientes de Exchange Online: Utilicen el cronograma extendido de Microsoft de manera proactiva. Inventarien de inmediato todas las aplicaciones y dispositivos que utilicen SMTP AUTH con Autenticación Básica. Comiencen a migrarlos a Autenticación Moderna (OAuth 2.0) o a métodos de envío seguros alternativos. Microsoft proporciona herramientas y registros para ayudar a identificar este uso.
3. Planificación Estratégica: Vean la autenticación no como un conjunto de herramientas discretas, sino como una infraestructura crítica e interconectada. Realicen una revisión holística de todos los métodos de autenticación, desde protocolos heredados hasta la identidad federada moderna. Desarrollen una hoja de ruta para eliminar la Autenticación Básica en todas sus formas y aseguren una gestión robusta de parches para todos los proveedores de identidad y puertas de enlace de acceso.

Los acontecimientos en torno a Fortinet y Microsoft no son incidentes aislados. Son síntomas de un desafío más amplio en ciberseguridad: gestionar la transición de un pasado inseguro a un futuro más seguro, al tiempo que se garantiza que las soluciones construidas para ese futuro sean ellas mismas seguras. La integridad de la empresa digital depende de conseguir este equilibrio correctamente.