Fortinet - CVE-2026-84393

Il s'agit d'une vulnérabilité dans le composant portail ZTNA sans agent (Agentless ZTNA) de FortiOS et FortiProxy, chargé de la vérification des certificats lors de l'établissement de connexions vers des applications internes.

FortiOS est le système d'exploitation propriétaire des équipements de sécurité réseau Fortinet, notamment les pare-feu FortiGate. FortiProxy est une solution de proxy web sécurisé bâtie sur la même base logicielle. Les deux intègrent des fonctionnalités de pare-feu, de VPN et d'accès réseau Zero Trust.

La faille provient d'une validation incorrecte du certificat présenté par le serveur de destination, en particulier d'une absence de vérification de la correspondance entre le certificat et le nom d'hôte attendu. Un attaquant positionné sur le chemin réseau, entre le portail ZTNA et le site de destination, peut ainsi présenter un certificat falsifié ou non correspondant sans être détecté. Cette absence de contrôle permet l'établissement d'une session interceptée à l'insu des deux extrémités, qui considèrent pourtant la connexion comme fiable.

Elle permet à un attaquant non authentifié de réaliser une attaque de l'homme du milieu sur le canal de communication entre le portail et sa destination.