Anàlisi de les noves amenaces informàtiques: vulnerabilitats crítiques en Fortinet i Ivanti, phishing empresarial i actualitzacions urgents de Google Chrome.

L'ecosistema digital empresarial s'enfronta a una nova onada de riscos tècnics que obliguen els responsables de tecnologia i els emprenedors a revisar urgentment els seus protocols de manteniment. Les darreres alertes emises per els centres de resposta a incidents informàtics han posat de manifest una sèrie de forats de seguretat en infraestructures crítiques de xarxa i navegació que podrien comprometre la integritat de milers de companyies.

El risc latent en les infraestructures de Fortinet

La seguretat del perímetre de xarxa és la primera línia de defensa de qualsevol organització. No obstant això, s'han detectat vulnerabilitats en diversos productes de Fortinet que poden permetre a un atacant accedir a informació sensible. Aquestes falles inclouen el bypass d'autenticació i la revelació d'informació, categories que representen un perill directe per a la confidencialitat dels sistemes interns.

Els productes afectats són diversos i abasten versions específiques de FortiOS (7.6.x anteriors a la 7.6.7) i FortiProxy (7.6.x anteriors a la 7.6.7). També s'han identificat problemes en FortiSandbox, tant en la seva versió 5.0.x com en la 4.4.x, així com en les variants Cloud i PaaS. La llista s'estèn fins a l'extensió de Chrome de FortiPAM i versions concretes de FortiMonitorOnSigh. De les vulnerabilitats detectades, tres han estat classificades amb gravetat crítica i una amb gravetat alta, cosa que eleva l'impacte sistèmic a nivells preocupants.

Per mitigar aquests riscos, la recomanació és clara: aplicar immediatament els actualitzacions de seguretat proporcionades pel proveïdor. Podeu trobar més detalls sobre aquestes alertes a ACN, on s'especifiquen els codis CVE corresponents per a cada producte.

Ivanti i l'execució de codi remot

Paral·lelment, Ivanti ha hagut de respondre a la detecció de 10 vulnerabilitats en els seus productes, on la gravetat és encara més pronunciada: sis d'elles són crítiques i quatre són altes. El perill principal aquí no és només l'accés a la informació, sinó la possibilitat que un atacant remot, sovint sense necessitat d'autenticació, pugui executar codi arbitrari sobre els sistemes afectats.

Aquesta capacitat d'execució remota és una de les amenaces més temudes en ciberseguretat, ja que permet l'escalada de privilegis i la superació dels mecanismes d'autorització. Els productes vulnerables inclouen Ivanti Neurons for ITSM, tant en la versió Cloud/SaaS (2026.2) com en versions On-Prem (des de la 2025.2 fins a la 2026.1). També s'han trobat falles en Ivanti Sentry i Ivanti Endpoint Manager Mobile, afectant versions específiques de les sèries R10.8.x, R10.7.x, R10.6.x i 12.9.x/12.8.x.

La fragilitat del navegador: el cas de Google Chrome

Mentre les infraestructures de xarxa pateixen falles estructurals, l'usuari final està exposat a través de la porta d'entrada més comuna: el navegador web. Google ha hagut de llançar una actualització massiva per corregir 230 noves vulnerabilitats de seguretat en Chrome. D'aquest volum impressionant de correccions, 5 són de gravetat crítica i 41 són altes.

El fet que un navegador tan utilitzat presenti un nombre tan elevat de vulnerabilitats en un sol període subratlla la complexitat del codi actual i la persistència dels atacants per trobar noves vies d'entrada. La vulnerabilitat CVE-2026-87491 és una de les més destacades en aquest paquet d'actualitzacions. Per a qualsevol emprenedor o professional, mantenir el navegador actualitzat no és una tasca secundària, sinó una mesura de seguretat bàsica per evitar el robatori de credencials o la instal·lació de programari maliciosos durant la navegació corporativa.

Engany i urgència: el phishing del Registre d'Empreses

Més allá dels errors de codi, l'enginyeria social continua sent l'arma més eficaç dels ciberdelinqüents. S'ha detectat una campanya de phishing molt dirigida que utilitza la suplantació d'identitat del Registre d'Empreses i les Càmores de Comerç. L'atac s'estructures a través de correus electrònics que intenten crear un sentiment d'urgència, afirmant que es tracta de la tercera comunicació per sol·licitar l'actualització de dades personals i empresarials.

L'atacant utilitza una landing page que reprodueix exactament els logotips i l'estètica del portal legítim per enganyar la víctima i capturar les seves credencials.

Un detall tècnic poc habitual en aquesta campanya és que, un cop la víctima ha introduït les seves dades en el portal fals, el sistema la redirigeix automàticament al portal real del Registre d'Empreses. Aquest moviment té com a objectiu augmentar la veridicitat del procés i evitar que l'usuari sospiti que ha estat víctima d'un frau fins que ja és massa tard.

Estratègies de defensa per a l'empresa moderna

Per afrontar aquest panorama, les organitzacions no poden confiar només en el programari. La prevenció requereix un enfocament híbrid que combini la tecnologia amb la formació humana. La mitigació dels atacs de phishing, per exemple, passa per sessions periòdiques de formació on els empleats aprenguin a desconfiar de comunicacions inesperades que sol·licitin pagaments urgents o dades sensibles, independentment de l'import o de la semblança del remitent.

En el cas dels productes de xarxa com Fortinet i Ivanti, la gestió de vulnerabilitats ha de ser proactiva. No es tracta nomestment d'esperar a que el sistema avisi d'una actualització, sinó de seguir els butlletins de seguretat dels proveïdors i els avisos de les agències nacionals de ciberseguretat per aplicar elsdisposing patches en el menor temps possible.

Impacte en el teixit empresarial de Catalunya i Espanya

Per a les empreses catalanes, especialment en un hub tecnològic com Barcelona, aquestes alertes tenen una rellevància estratègica. L'ecosistema d'empreses i startups de la ciutat, molt orientat a la digitalització i al servei en el núvol, és un blanc atractiu per a aquest tipus d'atacs. La dependència de solucions de seguretat perimetral com Fortinet fa que una vulnerabilitat crítica pugui afectar directament la continuïtat del negoci de nombroses Pimes catalanes.

A nivell nacional, l'entrada en vigor i l'adaptació a l'AI Act de la Unió Europea també obliguen les empreses espanyoles a repensar la seva governança de dades. Si bé l'AI Act se centra en la regulació de la intel·ligència artificial, la seguretat de la infraestructura que sosté aquestes IA és fonamental. Una vulnerabilitat en Ivanti o Fortinet podria permetre l'accés a models d'IA propietaris o a les bases de dades d'entrenament, convertint un problema de ciberseguretat en un problema de compliment normatiu i pèrdua de propietat intel·lectual.

El mercat espanyol, amb una alta penetració de serveis SaaS i una tendència creixent cap al treball híbrid, veu augmentada la seva superfície d'atac. La combinació de vulnerabilitats en navegadors com Chrome i la sofisticació del phishing dirigit a registres mercantils demostra que la seguretat no pot ser vista com un cost, sinó com una inversió en resiliència. Les empreses a Catalunya i a la resta d'Espanya han de moure's cap a un model de Zero Trust, on cap accés és automàticament fidedigne, independentment de si prové de l'interior o de l'exterior de la xarxa corporativa.

Preguntes freqüents

---

Fonts: Acn (7) ·