Fortinet ha publicado un aviso de seguridad el 13 de octubre de 2026 para corregir la vulnerabilidad CVE-2026-106173, una falla crítica en su producto FortiSIEM que permite la ejecución remota de código (RCE). El fallo, descubierto por el equipo Horizon3, reside en un servicio gRPC no documentado que opera en el puerto TCP 27918 y no requiere autenticación, lo que permite a un atacante remoto escribir archivos arbitrarios en el sistema de archivos del servidor.
La investigación detalla cómo un atacante puede explotar la falta de validación de entradas en el método SendQueryResult para realizar un recorrido de directorios (path traversal) y sobrescribir scripts críticos, como /opt/charting/redishb.sh, que se ejecutan periódicamente mediante cron jobs. Al controlar el contenido de los metadatos gRPC, los investigadores demostraron que es posible insertar bytes nulos para forzar el nombre exacto del archivo, permitiendo así la ejecución de código malicioso con permisos de administrador. Este es el cuarto informe de vulnerabilidades críticas de FortiSIEM publicado por Horizon3, que anteriormente documentó fallos de inyección de comandos en el servicio phMonitor (puerto 7900). El equipo recomienda a los administradores de seguridad revisar los timestamps de los archivos en /opt/charting/redishb.sh y /opt/phoenix/bin/phLicenseTool para detectar posibles explotaciones pasadas.