Fortinet - CVE-2026-126259

Date de publication :

Il s’agit d’une vulnérabilité dans FortiOS, le système des pare-feu FortiGate.

FortiOS est le système d’exploitation des pare-feu FortiGate de Fortinet. Il fournit les fonctions de pare-feu, de VPN et d’administration de l’équipement.

Elle touche le traitement des paquets de haute disponibilité (HA). Une fonction critique n’exige aucune authentification. La faille concerne les configurations avec FGSP et standalone-config-sync, ou avec autoscale. Un attaquant non authentifié envoie des paquets HA spécialement conçus. L’avis Fortinet décrit une attaque depuis un réseau adjacent. Aucune interaction de l’utilisateur n’est nécessaire.

Elle permet l’exécution de commandes avec les droits de super administrateur. L’équipement peut alors être entièrement compromis.

CVE-2026-126259

[Score CVSS v3.1 : 9.8]

Informations

La faille est activement exploitée : Non

Un correctif existe : Oui

Une mesure de contournement existe : Oui

Risques

Exécution de code arbitraire (à distance)

Exploitation

La vulnérabilité exploitée est du type
CWE-306 : Missing Authentication for Critical Functionality

Détails sur l'exploitation
•   Vecteur d'attaque : Réseau
•   Complexité de l'attaque : Faible
•   Privilèges nécessaires pour réaliser l'attaque : Aucun
•   Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
•   L'exploitation de la faille permet d'obtenir des droits privilégiés : Non

Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.

Systèmes ou composants affectés

  • FortiOS 8.0 version 8.0.0

  • FortiOS 7.6 versions 7.6.0 jusqu’à 7.6.7
  • FortiOS 7.4 versions 7.4.0 jusqu’à 7.4.12
  • FortiOS 7.2 versions 7.2.0 jusqu’à 7.2.13
  • FortiOS 7.0 toutes versions (NVD : 7.0.0 jusqu’à 7.0.19)

Contournement provisoire

Un virtual patch nommé FG-VD-61445.0day est disponible dans la mise à jour FMWP db 26.082.

Solutions ou recommandations

•   FortiOS 8.0 versions 8.0.1 et supérieures.
•   FortiOS 7.6 versions 7.6.8 et supérieures.
•   FortiOS 7.4 versions 7.4.13 et supérieures.
•   FortiOS 7.2 versions 7.2.14 et supérieures.
•   FortiOS 7.0 : aucun correctif sur cette branche, Fortinet demande de migrer vers une version corrigée.
•   Fortinet renvoie à son outil de chemin de mise à jour : https://docs.fortinet.com/upgrade-tool

Liens