Η Fortinet γνωστοποίησε κρίσιμα τρωτά σημεία ασφαλείας που επηρεάζουν τα FortiManager, FortiAnalyzer και FortiOS, συμπεριλαμβανομένων αδυναμιών που θα μπορούσαν να επιτρέψουν σε επιτιθέμενους να εκτελέσουν κώδικα χωρίς να έχουν συνδεθεί.
Οι γνωστοποιήσεις, που δημοσιεύθηκαν στις 10 Νοεμβρίου 2026, καλύπτουν διεπαφές διαχείρισης (APIs), υπηρεσίες επικοινωνίας συσκευών, δρομολόγηση και συγκεκριμένες διατάξεις υψηλής διαθεσιμότητας. Οι προϋποθέσεις επίθεσης διαφέρουν, γι’ αυτό οι ενεργοποιημένες λειτουργίες και η πρόσβαση στο δίκτυο είναι καθοριστικές για την εκτίμηση της έκθεσης.
Fortinet: Τα πιο σοβαρά τρωτά σημεία
Το υψηλότερα βαθμολογημένο ζήτημα, το CVE-2026-126170, έχει βαθμολογία CVSS 9,8. Καταχωρίζεται ως FG-IR-26-219 και αφορά έγχυση JSON στο JSON-RPC API που χρησιμοποιούν τα FortiManager και FortiAnalyzer. Όταν το JSON API είναι ενεργοποιημένο, κατασκευασμένα αιτήματα θα μπορούσαν να επιτρέψουν σε έναν επιτιθέμενο χωρίς πιστοποίηση να εκτελέσει κώδικα ή εντολές. Τα συστήματα που χρησιμοποιούν το API για αυτοματοποίηση χρειάζονται προσεκτικό έλεγχο.
Ένα άλλο κρίσιμο ελάττωμα, το CVE-2026-126261, επηρεάζει την υπηρεσία FGFM του FortiManager. Με βαθμολογία 9,0 και κωδικό FG-IR-26-275, η αδυναμία εξουσιοδότησης επιτρέπει σε επιτιθέμενους που φτάνουν στη θύρα FGFM να στείλουν κατασκευασμένα πακέτα και ενδεχομένως να εκτελέσουν κώδικα. Το πρόβλημα εμφανίζεται πριν επαληθευτεί ο κωδικός εγγραφής, τοποθετώντας την ίδια την υπηρεσία μέσα στη διαδρομή της επίθεσης.
Το CVE-2026-126262, με κωδικό FG-IR-26-276 και βαθμολογία 9,3, εκθέτει συστήματα FortiAnalyzer και FortiManager με ενεργοποιημένες λειτουργίες FortiAnalyzer σε έγχυση SQL μέσω OFTP. Ο επιτιθέμενος δεν χρειάζεται να συνδεθεί και η επιτυχής εκμετάλλευση θα μπορούσε να οδηγήσει σε εκτέλεση κώδικα. Έτσι, η πρόσβαση στην υπηρεσία μεταφοράς αρχείων καταγραφής αποτελεί σημαντικό μέρος των ελέγχων έκθεσης.
Επηρεαζόμενες εκδόσεις και διορθώσεις
Η Fortinet είχε κυκλοφορήσει ενημερώσεις πριν δημοσιεύσει τις αναλυτικές οδηγίες, δίνοντας χρόνο στους πελάτες να αναβαθμίσουν. Οι διαχειριστές δεν πρέπει ωστόσο να υποθέτουν ότι η εγκατάσταση μιας έκδοσης του Οκτωβρίου επιλύει κάθε εύρημα του Νοεμβρίου, επειδή οι διορθώσεις διαφέρουν ανά τρωτό σημείο και κλάδο λογισμικού.
Η οδηγία για το FGFM αναφέρει ως επηρεαζόμενες τις εκδόσεις FortiManager 8.0.0, 7.6.0 έως 7.6.7, 7.4.0 έως 7.4.5 και 7.2.0 έως 7.2.8 για το CVE-2026-126261. Οι εκδόσεις με διόρθωση είναι αντίστοιχα οι 8.0.1, 7.6.8, 7.4.6 και 7.2.9. Η Fortinet σημειώνει ότι κατά τη δημοσίευση δεν ήταν γνωστό να έχει γίνει εκμετάλλευση του ζητήματος.
Το CVE-2026-126260, με κωδικό FG-IR-26-274, προσθέτει έναν ξεχωριστό κίνδυνο στο OFTP. Με βαθμολογία 9,0, πρόκειται για ελάττωμα πλαστογράφησης αιτημάτων από την πλευρά του διακομιστή πριν από την πιστοποίηση, που επηρεάζει FortiAnalyzer και FortiManager με ενεργοποιημένες λειτουργίες FortiAnalyzer. Δεν πρέπει να συγχέεται με επιβεβαιωμένη απομακρυσμένη εκτέλεση κώδικα, καθώς ο αντίκτυπός του αφορά την πρόκληση αιτημάτων από τον διακομιστή.
Οι αδυναμίες αυτές δείχνουν γιατί η προστασία της σελίδας σύνδεσης στον browser δεν αρκεί. Το FGFM χρησιμοποιεί τη θύρα TCP 541 και το OFTP τη θύρα TCP 514, και οι περιορισμοί σύνδεσης διαχειριστών δεν τις προστατεύουν άμεσα. Προηγούμενες αναφορές για παραβίαση του FortiManager έδειξαν ότι η πρόσβαση σε μια κεντρική συσκευή διαχείρισης μπορεί να εκθέσει ευαίσθητες πληροφορίες που συνδέονται με εκατοντάδες διαχειριζόμενα firewalls.
Επιπτώσεις στη δρομολόγηση και στους ελέγχους πρόσβασης
Η ευρύτερη κυκλοφορία περιλαμβάνει το CVE-2026-126254, ένα ελάττωμα αριθμητικής περικοπής με βαθμολογία 9,6 στον χειρισμό BGP του FortiOS, που απαιτεί κίνηση από διαμορφωμένο γείτονα iBGP. Το CVE-2026-126253, με βαθμολογία 9,3, αφορά παράκαμψη πιστοποίησης στο OSPF, που θα μπορούσε να επιτρέψει πλαστές διαφημίσεις δρομολόγησης. Πρόκειται για κινδύνους δρομολόγησης και όχι για εναλλάξιμα παραδείγματα εκτέλεσης κώδικα σε διακομιστές διαχείρισης.
Το CVE-2026-126229, με βαθμολογία 9,1, θα μπορούσε να επιτρέψει σε πιστοποιημένο διαχειριστή να έχει πρόσβαση σε άλλους εικονικούς τομείς (VDOMs) εκτός των επιτρεπόμενων ορίων του. Ξεχωριστά, το CVE-2026-126259 έχει βαθμολογία 9,0 και επιτρέπει εκτέλεση εντολών με δικαιώματα super-admin σε συγκεκριμένες διαμορφώσεις του FortiOS που περιλαμβάνουν FGSP με αυτόνομο συγχρονισμό διαμόρφωσης ή επηρεαζόμενες διαμορφώσεις autoscale. Κανένα από τα δύο ζητήματα δεν πρέπει να περιγράφεται ως ότι επηρεάζει εξίσου κάθε εγκατάσταση.
Οι συστάσεις της Fortinet
Οι οδηγίες της Fortinet προτρέπουν τους πελάτες να δώσουν προτεραιότητα στα εκτεθειμένα συστήματα, να δημιουργήσουν αντίγραφα ασφαλείας των διαμορφώσεων και να παρακολουθούν για μη εξουσιοδοτημένες αλλαγές. Για το CVE-2026-126170, ο κλάδος 8.0 απαιτεί ιδιαίτερη προσοχή, καθώς η έκδοση 8.0.3 αναφέρεται ως επερχόμενη. Η απενεργοποίηση της αχρησιμοποίητης πρόσβασης στο JSON API με την εντολή set rpc-permit none μειώνει την έκθεση, ενώ οι διαχειριστές επαληθεύουν την τελευταία οδηγία και σχεδιάζουν την κατάλληλη ενημέρωση.
