В FortiSIEM, SIEM-системе (решение для сбора и корреляции событий информационной безопасности) от компании Fortinet, нашли уязвимость обхода путей. Эксплуатация не требует учётных данных: злоумышленник отправляет специально сформированные сетевые пакеты и получает возможность выполнить посторонний код или команды на сервере. Проблема затрагивает ветку 7.5, включая сборку 7.5.0. Облачная редакция FortiSIEM Cloud уязвимости не подвержена.
Обход путей в FortiSIEM CVE-2026-106173
Речь о классе ошибок, который называют обходом путей, или path traversal. Приложение принимает от пользователя путь к файлу и не проверяет должным образом, что тот остаётся внутри разрешённой директории. В итоге злоумышленник выходит за её пределы и обращается к ресурсам, доступа к которым у него быть не должно. В случае с FortiSIEM последствие тяжелее обычного чтения чужих файлов: вендор говорит о выполнении постороннего кода и команд.
Формально проблема описана как CWE-22 - неверное ограничение пути в защищённом каталоге. Атака идёт по сети и не требует входа в систему, что заметно расширяет круг тех, кто способен её провести. По классификации Fortinet уязвимость получила уровень Critical, оценка по шкале CVSS v3 составляет 9.4. Сведений об эксплуатации в реальных атаках на момент публикации нет.
Почему это важно для инфраструктуры
FortiSIEM собирает данные с сетевых устройств, серверов и приложений, хранит журналы событий и служит единой точкой обзора для службы информационной безопасности. Такая система видит трафик и происшествия всей инфраструктуры, поэтому доступ к ней ценен сам по себе. Успешная атака открывает путь к журналам, к настройкам и, что важнее, к другим узлам сети. Для компаний, которые обязаны хранить и защищать логи, последствия выходят далеко за рамки одной платформы.
Неаутентифицированный вектор означает, что злоумышленнику не нужны ни логин, ни пароль, ни действующая сессия. Достаточно сетевого доступа к нужному порту. Если сервис выставлен в интернет, риск возрастает многократно, потому что перебирать учётные данные или искать слабое место в аутентификации уже не требуется. Именно сочетание обхода путей и работы без проверки подлинности делает эту уязвимость заметной.
Отдельно вендор подчёркивает: облачная версия продукта проблеме не подвержена. Это значит, что основной риск лежит на организациях с локальными развёртываниями, которые сами управляют инфраструктурой и обновлениями.
Исправление и временные меры
Ошибку закрыли в версии 7.5.1. Администраторам имеет смысл обновить FortiSIEM до 7.5.1 или более поздней сборки. Ветка 7.6 уязвима не была, так что переход на неё тоже снимает вопрос.
Если обновление отложено, вендор предлагает временную меру: ограничить доступ к TCP-порту 27918. На практике это означает закрыть порт на периметре или разрешить подключения только с доверенных адресов. Такой шаг блокирует эксплуатацию, потому что вредоносные пакеты просто не доходят до уязвимого компонента.
Виртуальный патч для продукта не выпустили, поэтому промежуточная защита сводится к сетевому ограничению. Публикация датирована 13 октября 2026 года, идентификатор рекомендации - FG-IR-26-180.
Уязвимость обнаружила внутренняя команда Fortinet Product Security, автором отчёта указан Гвендаль Геньо. То есть речь не о находке сторонних исследователей и не о сообщении об атаке, а о плановом аудите собственного кода.
Что стоит учесть
Обход путей остаётся одним из самых частых типов ошибок в серверном программном обеспечении. Причина проста: проверку пути легко пропустить, а цена пропуска высока. Опасность усиливается, когда такая ошибка соседствует с доступом без аутентификации, как в этом случае. Оценка 9.4 подходит вплотную к верхней границе шкалы, и отражает она не столько изощрённость атаки, сколько тяжесть возможных последствий для инфраструктуры.
Организациям, которые держат FortiSIEM в рабочем контуре, разумно проверить текущую версию и ограничить доступ к порту 27918 до установки обновления. Проверка занимает минуты, а цена промедления измеряется доступом злоумышленника к журналам и узлам сети.
Ссылки
