Четыре уязвимости класса внедрения SQL-кода затрагивают веб-интерфейс FortiAnalyzer, FortiAnalyzer Cloud, FortiManager и FortiManager Cloud. Пользователь с низкими правами может через специально сформированные запросы прочитать и изменить произвольные файлы на устройстве. В части конфигураций тот же прием ведет к выполнению команд операционной системы. Самую высокую оценку получила CVE-2025-46773, 7.9 по шкале CVSS, уровень High. Еще одну, CVE-2026-23705, оценили в 6.5, это Medium. Остальные две требуют более высоких прав либо ведут только к раскрытию информации. Реальной эксплуатации пока нет. Исправленные сборки уже доступны.
Четыре SQL-инъекции в FortiAnalyzer и FortiManager
Уязвимость затрагивает обработку данных, которые пользователь отправляет через интерфейс. Приложение вставляет их в запрос к базе данных и не проверяет как следует. Атакующий дописывает в поле ввода свою часть запроса, и база выполняет ее наравне с исходной командой. Поэтому результат отличается от того, который задумывал разработчик. Такой класс ошибок и называют внедрением SQL-кода.
Последствия зависят от прав учетной записи. Для CVE-2025-46773 хватает учетной записи с низкими правами, а удар приходится на конфиденциальность, целостность и доступность данных. Другая уязвимость, доступная такому же пользователю, ограничивается чтением информации. Две оставшиеся требуют прав администратора. Во всех случаях атакующий должен сначала войти в систему. Это снижает риск массовых сканирований из интернета, зато повышает ценность учетных данных, добытых другим путем.
FortiAnalyzer собирает и анализирует журналы событий, FortiManager управляет настройками парка устройств Fortinet. Такой узел концентрирует данные и конфигурации всей инфраструктуры. Значит, успех на нем затрагивает не одну систему, а весь управляемый парк. Об уязвимостях сообщила внутренняя команда Fortinet по безопасности продуктов. Публичных эксплойтов нет, виртуальный патч для этих уязвимостей не предусмотрен.
FortiAnalyzer и облачная версия
В локальном FortiAnalyzer уязвимы версии 7.6.0-7.6.4, 7.4.0-7.4.7 и вся ветка 7.2. Исправления ждут в 7.6.5 и 7.4.8. Для 7.2 обновления внутри ветки нет, нужен переход на поддерживаемый релиз. Облачный FortiAnalyzer уязвим в диапазонах 7.6.2-7.6.4, 7.4.1-7.4.7 и 7.2.1-7.2.11. Здесь исправленные сборки - 7.6.5, 7.4.8 и 7.2.12. Версия 8.0 в обеих линейках проблемы не содержит.
FortiManager и облачная версия
FortiManager уязвим в версиях 7.6.0-7.6.4, 7.4.0-7.4.6 и во всей ветке 7.2. Обновление - до 7.6.5 и 7.4.7 соответственно. Ветку 7.2 придется мигрировать на исправленный релиз. В облачном FortiManager проблема затрагивает только 7.6.2-7.6.4, исправление - 7.6.5. Версии 8.0, 7.4 и 7.2 облачной линейки не затронуты.
Что делать администраторам
Установка 7.6.5 закрывает уязвимости в FortiAnalyzer, FortiManager и их облачных версиях. Для ветки 7.4 нужны 7.4.8 в FortiAnalyzer и 7.4.7 в FortiManager. Облачный FortiAnalyzer ветки 7.2 требует 7.2.12. Там, где обновления внутри ветки не предусмотрено, вендор советует перейти на поддерживаемый релиз. Виртуального патча нет, поэтому отложенная установка сборки не снижает риск.
Системы централизованного управления и сбора журналов остаются привлекательной целью. Ошибка в их веб-интерфейсе затрагивает настройки всего парка устройств. Поскольку уязвимости нашли внутри компании, технических подробностей пока мало. Окно для обновления у администраторов шире, чем при публичном выходе эксплойта.
Ссылки
- https://fortiguard.fortinet.com/psirt/FG-IR-26-178
- https://www.cve.org/CVERecord?id=CVE-2025-46773
- https://www.cve.org/CVERecord?id=CVE-2026-23705
- https://www.cve.org/CVERecord?id=CVE-2026-23706
- https://www.cve.org/CVERecord?id=CVE-2026-23707
