Уязвимость в FortiOS позволяет вывести из строя веб-интерфейс управления, который работает по HTTPS. Учётные данные для этого не нужны, достаточно сетевого доступа к устройству. Ошибка затрагивает ветку 8.0 в версии 8.0.0 и ветку 7.6 в сборках с 7.6.4 по 7.6.6. Ветки 7.4 и 7.2 разработчик относит к незатронутым. Рейтинг по шкале CVSS - 6.7, уровень опасности - Medium, то есть средний. Эксплуатации в реальных атаках не зафиксировано.
CVE-2026-106174 и блокировка в веб-интерфейсе FortiOS
Речь о CVE-2026-106174. Причина - ошибка в механизме блокировки общих ресурсов, её классифицируют как CWE-667. Панель управления обрабатывает запросы параллельно. Когда несколько запросов одновременно пытаются занять один и тот же ресурс, синхронизация нарушается. В результате интерфейс перестаёт отвечать. Запускают этот сценарий специально сформированные HTTP-запросы. Аккаунт администратора атакующему не нужен, вход в систему не требуется вовсе.
Такие ошибки синхронизации встречаются в устройствах, которые обслуживают много одновременных соединений. Обычно они приводят к зависанию отдельной функции, а не к отказу всего оборудования. Здесь страдает именно панель управления. Она отвечает на запросы по HTTPS, и остановка этого процесса не роняет остальные сервисы. Однако польза для злоумышленника от этого не исчезает. Заблокированная панель означает, что администратор не может ни проверить настройки, ни отреагировать на другую проблему через привычный интерфейс.
Отказ касается только интерфейса управления. Сам трафик через устройство при этом не затрагивается. Многое решает конфигурация. Если панель открыта в интернет или доступна из недоверенных сегментов сети, заблокировать её сможет любой, кто получит сетевой доступ к нужному порту. Для этого достаточно повторять запросы.
FortiOS работает на межсетевых экранах и другом оборудовании Fortinet. Панель управления такими устройствами администраторы нередко публикуют наружу - для удалённой работы или мониторинга. Поэтому цена ошибки зависит от того, насколько широко открыт интерфейс. Ветки 7.4 и 7.2 в списке незатронутых. Для тех, кто не планирует крупное обновление, это означает, что их устройства не требуют срочных действий.
Fortinet закрыла проблему в FortiOS 8.0.1 и 7.6.7. Администраторам ветки 7.6 нужно перейти на 7.6.7 или более позднюю сборку, пользователям 8.0 - на 8.0.1 и выше. Официальный инструмент подбора пути обновления опубликован по адресу https://docs.fortinet.com/upgrade-tool. Тем, кто не может обновиться сразу, компания предлагает виртуальный патч с идентификатором FG-VD-61291.0day. Он поставляется с обновлением базы FMWP 26.073. Виртуальный патч - это сигнатура, которая распознаёт и блокирует попытки эксплуатации без смены прошивки.
Сначала закройте интерфейс управления от посторонних. Ограничьте доступ списком доверенных адресов. Отключите публикацию панели в интернет, если она не нужна для работы. Проверьте версии FortiOS на своих устройствах: 8.0.0 и сборки с 7.6.4 по 7.6.6 требуют обновления. Если переход на новую версию откладывается, включите виртуальный патч. Он снижает риск без установки новой прошивки.
Рейтинг 6.7 не выглядит угрожающим, и массовых атак на эту ошибку нет. Значимость в другом: уязвимость не требует аутентификации и бьёт по интерфейсу, через который устройство обслуживают. Отказы такого рода не приводят к утечке данных или выполнению чужого кода. Зато они мешают реакции на другие события, например когда нужно срочно изменить правила фильтрации. Уязвимость обнаружили Oded Weissman, а также clxhzg и Tu Longfeng. Они сообщили о ней по программе ответственного раскрытия.
Ссылки
