Multiples failles de sécurité affectant les produits Fortinet (Publication PSIRT de novembre 2026)
Fortinet a publié un ensemble majeur de près de 90 avis de sécurité traitant d'environ 100 vulnérabilités réparties sur l'ensemble de son écosystème logiciel et matériel, incluant FortiOS, FortiManager, FortiAnalyzer, FortiMail, FortiWeb, FortiClient et FortiSASE. Environ 17 vulnérabilités sont classées comme critiques et près de 80 sont jugées de sévérité élevée. Les failles identifiées comprennent l'exécution de code à distance (RCE), le contournement d'authentification et...
Description
Contexte technique et détails de la vulnérabilité
La mise à jour mensuelle de novembre 2026 du PSIRT de Fortinet constitue l'une des divulgations coordonnées les plus importantes de l'éditeur, ciblant des composants d'infrastructure réseau et de sécurité critiques :
-
Contournement d'authentification dans le démon OSPF de FortiOS (CVE-2026-126253, score CVSS de 9.3) : Une faiblesse critique dans le démon de routage OSPF (Open Shortest Path First) de FortiOS permet à un attaquant distant non authentifié situé sur le réseau adjacent d'injecter ou d'altérer les informations de routage, ce qui peut conduire à l'interception ou à la perturbation des domaines de routage.
-
Injections SQL et traitement d'API critiques dans FortiManager et FortiAnalyzer (CVE-2026-126262, CVE-2026-126170) : Une mauvaise neutralisation des entrées utilisateur dans certains points de terminaison d'API JSON et gestionnaires de requêtes de base de données permet à un attaquant d'exécuter des requêtes arbitraires, d'extraire des identifiants sensibles ou de manipuler les inventaires d'équipements.
-
Injections de commandes et traversées de répertoires dans FortiMail et FortiWeb : De multiples vulnérabilités liées à la neutralisation incorrecte d'éléments spéciaux dans les scripts d'administration permettent à des attaquants d'exécuter des commandes système ou de lire des fichiers arbitraires sur les appliances.
Bien que Fortinet n'ait relevé aucune exploitation active dans la nature au moment de la publication, la publication des correctifs permet aux cybercriminels de développer rapidement des exploits fonctionnels.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code à distance (RCE) avec des privilèges élevés sur les passerelles réseau ;
- Contournement d'authentification et d'autorisation sans identifiants valides ;
- Altération et exposition des tables de routage dynamique ;
- Exécution de requêtes arbitraires et vol de données via injection SQL ;
- Compromission des systèmes centraux de gestion de pare-feu et de journaux (FortiManager/FortiAnalyzer) ;
- Déni de service (DoS) impactant la connectivité de l'entreprise.
Systèmes affectés
Produits, composants et versions concernés
- FortiOS dans les versions antérieures aux branches de maintenance corrigées ;
- FortiManager et FortiAnalyzer ;
- FortiMail et FortiWeb ;
- FortiClient et FortiClientEMS ;
- Éléments cloud et sur site de FortiSASE.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à niveau tous les équipements Fortinet concernés vers les versions de microprogramme corrigées recommandées par les avis du PSIRT FortiGuard ;
- Restreindre strictement l'accès aux interfaces d'administration (HTTPS, SSH, API) aux seuls sous-réseaux d'administration de confiance ou via un réseau dédié hors bande ;
- Désactiver impérativement les accès d'administration sur les interfaces WAN exposées à Internet ;
- Vérifier l'authentification des protocoles de routage et filtrer les voisinages OSPF non autorisés ;
- Examiner les journaux d'administration pour détecter toute tentative de connexion inhabituelle ou modification anormale de configuration.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.