Fortinet закрыла 89 уязвимостей в FortiOS, FortiManager и других продуктах

Fortinet выпустила ноябрьский набор обновлений для FortiOS, FortiManager, FortiAnalyzer, FortiClient и FortiSandbox. Он закрывает 89 уязвимостей, включая критическую ошибку авторизации в протоколе FGFM, через которую можно выполнить код на FortiManager. Часть проблем позволяет обойти ограничения безопасности, повысить привилегии или вызвать отказ в обслуживании.

Что вошло в ноябрьский цикл

Сводный бюллетень собирает уязвимости разного характера: раскрытие информации, XSS, отказ в обслуживании, подмена данных, повышение привилегий, обход ограничений, выполнение кода и спуфинг. Подробности по каждому случаю вендор разложил по отдельным уведомлениям FG-IR-26-190 - FG-IR-26-277. Ниже разобраны случаи, для которых есть полные данные: они и задают приоритеты.

Критический случай: FGFM в FortiManager

FGFM - протокол, по которому FortiManager управляет устройствами FortiGate. Ошибка в проверке авторизации (CWE-285) в CVE-2026-126261 позволяет отправить специально сформированные пакеты и выполнить код или команды.

Оценка - 9.0 по CVSS 3.1. Атака идёт по сети, сложность низкая, привилегии не нужны, участие пользователя не требуется. Достаточно сетевого доступа к порту FGFM, учётная запись не нужна.

Затронуты FortiManager 8.0.0, 7.6.0 - 7.6.7, 7.4.0 - 7.4.5 и 7.2.0 - 7.2.8. Исправления вышли в 8.0.1, 7.6.8, 7.4.6 и 7.2.9.

FortiManager обычно стоит в центре управления сетью. Он хранит конфигурации, политики и данные об устройствах. Выполнение кода на таком узле затрагивает всю управляемую инфраструктуру, а не один сегмент.

FortiClient: выполнение кода на конечных устройствах

CVE-2026-121529 - ошибка проверки источника (origin validation, CWE-346). Вендор оценил её в 9.1 по CVSS 3.1 и отнёс к повышению привилегий.

Атака идёт по сети, привилегии не требуются, но нужно взаимодействие с жертвой. Пользователь должен открыть ссылку или файл, после чего атакующий получает выполнение кода.

Затронуты FortiClientMac 7.4.0 - 7.4.7, FortiClientWindows 7.4.0 - 7.4.7 и 7.2.0 - 7.2.14, FortiClientWindowsPAM 7.4.7 и 7.2.14. Патч вышел в 8.0.0, 7.4.8 и 7.2.15.

FortiClient стоит на рабочих станциях и часто хранит профили VPN. Компрометация такого устройства обходит периметровую защиту: машина уже имеет доступ во внутреннюю сеть.

Path traversal в FortiManager и FortiAnalyzer

CVE-2025-61625 - ошибка ограничения пути в каталоге (path traversal, CWE-22). Учётная запись только с правом чтения может через специально сформированные HTTP-запросы писать и удалять файлы в файловой системе.

CVSS 3.1 - 7.3. Влияние на конфиденциальность не заявлено, на целостность и доступность - высокое. Нужны низкие привилегии и сетевой доступ, участие пользователя не требуется.

Затронуты FortiManager 7.6.0 - 7.6.4, 7.4.0 - 7.4.7, 7.2.0 - 7.2.11, FortiAnalyzer тех же веток, а также FortiManager Cloud 7.6.0 - 7.6.4, 7.4.1 - 7.4.7 и 7.2.1 - 7.2.10. Исправления в 7.6.5, 7.4.8 и 7.2.12, для Cloud - в 7.2.11.

Главный риск здесь не разовая запись, а закрепление. Изменение файлов позволяет подменить конфигурацию под себя или оставить правки, которые переживут перезагрузку. Учётные записи только для чтения часто выдают подрядчикам и системам мониторинга, поэтому круг потенциальных атакующих шире, чем кажется.

XSS в FortiSandbox

CVE-2026-26248 - межсайтовый скриптинг (CWE-79) с оценкой 7.9 по CVSS 3.1. Неаутентифицированный атакующий использует социальную инженерию и специально сформированные HTTP-запросы.

Участие пользователя требуется: без перехода по ссылке атака не сработает. При этом привилегии не нужны, а влияние на конфиденциальность, целостность и доступность заявлено как высокое.

Затронуты FortiSandbox 5.0.0 - 5.0.5, 4.4.0 - 4.4.8 и все версии ветки 4.2, а также FortiSandbox Cloud и PaaS 5.0.4 - 5.0.5. Исправления вышли в 5.2.0, 5.0.6 и 4.4.9, для Cloud и PaaS - в 5.0.6.

Для ветки 4.2 отдельного патча в списке решений нет: такие установки нужно переводить на 4.4.9 или выше. XSS в интерфейсе песочницы означает, что сессия администратора может быть использована для действий от его имени.

Ошибка аутентификации в FortiOS

CVE-2026-121530 - некорректная аутентификация (CWE-287) в FortiOS 7.6.0 - 7.6.6. Атакующий, у которого есть действующие логин и пароль, может предъявить недействительный токен и получить доступ, которого быть не должно.

Оценка скромнее - 5.9 по CVSS 3.1. Требуются высокие привилегии, сложность атаки высокая, участие пользователя не нужно. Исправлено в 7.6.7 и 8.0.0.

Порядок действий

Начинать стоит с FortiManager, у которого порт FGFM доступен из недоверенных сетей. Далее - парк FortiClient: там нужен централизованный план обновления, потому что речь идёт о рабочих станциях.

Затем проверяют учётные записи только для чтения в FortiManager и FortiAnalyzer. Если обновление на этих системах задерживается, список таких аккаунтов стоит сократить до минимума.

FortiSandbox обновляют до 5.2.0, 5.0.6 или 4.4.9 в зависимости от ветки. FortiOS - до 7.6.7 или 8.0.0.

Отдельно стоит открыть уведомления FG-IR-26-190 - FG-IR-26-277 и сверить полный перечень. Остальные CVE цикла в сводке идут без детализации, а часть из них связана с раскрытием информации и отказом в обслуживании.

Если обновиться нельзя

Отдельных обходных мер в бюллетене не приводится, решения ограничены установкой обновлений. До патча основной способ снизить риск для FortiManager - ограничить доступ к порту FGFM доверенными адресами.

Административные интерфейсы FortiManager, FortiAnalyzer и FortiSandbox стоит вывести из общей сети и закрыть фильтрами. Для FortiClient это не работает: устройство нужно обновлять. Фильтрация почты и веб-доступа снижает вероятность клика, но саму уязвимость не закрывает.