Wprowadzenie do problemu / definicja
Fortinet opublikował poprawki bezpieczeństwa dla kilku podatności w swoim portfolio, w tym dwóch szczególnie istotnych błędów związanych z uwierzytelnianiem w produktach FortiWeb oraz FortiManager. Tego rodzaju luki należą do najgroźniejszych, ponieważ mogą prowadzić do obejścia kontroli dostępu, podszywania się pod zaufane urządzenia lub uzyskania nieautoryzowanego dostępu do interfejsów administracyjnych.
W praktyce oznacza to ryzyko przejęcia kontroli nad elementami infrastruktury, które odpowiadają za ochronę aplikacji webowych, centralne zarządzanie bezpieczeństwem i obsługę stacji końcowych. Nawet jeśli podatność wymaga określonej konfiguracji, jej wykorzystanie może mieć poważne skutki operacyjne.
W skrócie
Najważniejsze poprawki dotyczą FortiWeb oraz FortiManager. W FortiWeb usunięto lukę CVE-2026-26035, która w określonych, niestandardowych konfiguracjach mogła umożliwić zdalnemu, nieuwierzytelnionemu atakującemu logowanie do GUI lub CLI przy użyciu losowej nazwy użytkownika i hasła.
W FortiManager załatano podatność CVE-2026-70468, pozwalającą na obejście uwierzytelniania i podszycie się pod dowolne urządzenie FortiGate zarządzane przez platformę. Producent naprawił również inne błędy, w tym przepełnienie bufora w FortiClient dla Windows.
- FortiWeb: poprawka dla CVE-2026-26035
- FortiManager: poprawka dla CVE-2026-70468
- FortiClient dla Windows: poprawka dla CVE-2026-70465
- Dodatkowe aktualizacje objęły także inne produkty, w tym FortiOS i FortiSIEM
Kontekst / historia
Produkty Fortinet odgrywają ważną rolę w środowiskach korporacyjnych, szczególnie tam, gdzie są wykorzystywane do ochrony aplikacji webowych, centralnego zarządzania infrastrukturą bezpieczeństwa oraz ochrony stacji roboczych. Z tego względu każda podatność dotycząca warstwy administracyjnej lub relacji zaufania między komponentami ma podwyższoną wagę.
W ostatnich latach rośnie liczba ataków na urządzenia brzegowe, platformy zarządzające i systemy bezpieczeństwa. Cyberprzestępcy coraz częściej wykorzystują błędy konfiguracyjne, słabe mechanizmy uwierzytelniania i nadużycia zaufania między urządzeniami. Najnowsze poprawki Fortinet wpisują się w ten trend, ponieważ dotyczą właśnie tożsamości, autoryzacji i integralności komunikacji między systemami.
Analiza techniczna
Luka CVE-2026-26035 w FortiWeb jest związana z nieprawidłowym uwierzytelnianiem w środowiskach, w których aktywowano określone ustawienie niestandardowe dotyczące kont administratorów. Problem dotyczy mechanizmu wildcard dla kont administracyjnych, który domyślnie pozostaje wyłączony. Po jego aktywacji system może mapować dowolną nazwę użytkownika z serwera zdalnego na konto typu Remote User, jeśli spełnione są warunki dopasowania grupy administracyjnej.
W efekcie pojawia się ryzyko niezamierzonego zaakceptowania nieprawidłowych danych logowania i uzyskania dostępu do interfejsu zarządzającego. Fortinet udostępnił poprawki dla FortiWeb w wersjach 8.0.3, 7.6.7, 7.4.12 oraz 7.2.13. Jako obejście tymczasowe producent zaleca wyłączenie ustawienia wildcard, jeśli aktualizacja nie może zostać wdrożona natychmiast.
Druga kluczowa podatność, CVE-2026-70468, dotyczy FortiManager i umożliwia obejście uwierzytelniania w celu podszycia się pod dowolne urządzenie FortiGate zarządzane przez platformę. Według opisu problem wymaga spełnienia określonych warunków konfiguracyjnych po stronie CLI oraz posiadania ważnego certyfikatu. Choć to zawęża powierzchnię ataku, nie eliminuje zagrożenia, zwłaszcza w rozbudowanych środowiskach z szerokim wykorzystaniem automatyzacji i relacji opartych na zaufaniu kryptograficznym.
Dodatkowo Fortinet załatał wysokiego ryzyka przepełnienie bufora w FortiClient dla Windows, oznaczone jako CVE-2026-70465. Podatność może umożliwić nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu, jeśli jest w stanie modyfikować lub preparować odpowiedzi DNS. Taki scenariusz może obejmować ataki typu man-in-the-middle, nadużycia w sieci lokalnej lub kompromitację infrastruktury pośredniczącej w rozwiązywaniu nazw.
Producent poinformował również o poprawkach dla podatności o średnim i niskim poziomie ważności w innych produktach. Jednocześnie nie wskazano, aby opisane luki były aktywnie wykorzystywane w środowisku rzeczywistym w momencie publikacji aktualizacji.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem podatności w FortiWeb jest możliwość uzyskania nieautoryzowanego dostępu do płaszczyzny administracyjnej. Jeśli atakujący przejmie GUI lub CLI urządzenia WAF, może zmieniać polityki bezpieczeństwa, osłabiać ochronę aplikacji, dodawać nowe konta uprzywilejowane lub wykorzystywać urządzenie jako punkt wejścia do dalszej penetracji środowiska.
W przypadku FortiManager zagrożenie dotyczy integralności centralnego systemu zarządzania. Podszycie się pod urządzenie FortiGate może prowadzić do fałszowania relacji między komponentami, manipulacji konfiguracją i wprowadzania zmian, które zostaną później rozpropagowane na większą liczbę zarządzanych instancji.
Przepełnienie bufora w FortiClient dla Windows rozszerza z kolei ryzyko na warstwę endpointów. Jeśli napastnik uzyska wpływ na odpowiedzi DNS, może potencjalnie doprowadzić do zdalnego wykonania kodu na stacji roboczej, a następnie do eskalacji uprawnień, ruchu lateralnego i kradzieży danych.
- Ryzyko przejęcia dostępu administracyjnego
- Możliwość manipulacji konfiguracją urządzeń bezpieczeństwa
- Zagrożenie dla integralności centralnego zarządzania
- Potencjalne wykonanie kodu na stacjach końcowych
- Większa powierzchnia ataku w środowiskach złożonych i zautomatyzowanych
Rekomendacje
Organizacje korzystające z FortiWeb, FortiManager i FortiClient powinny priorytetowo przeprowadzić przegląd wersji oprogramowania i wdrożyć najnowsze poprawki bezpieczeństwa. W środowiskach produkcyjnych warto połączyć proces aktualizacji z walidacją konfiguracji, aby upewnić się, że niestandardowe ustawienia nie zwiększają poziomu ekspozycji.
Dla FortiWeb zalecane jest sprawdzenie, czy włączono mechanizm wildcard dla kont administratorów oraz czy definicje grup administracyjnych są zgodne z zasadą minimalnych uprawnień. Jeśli aktualizacja musi zostać odłożona, wyłączenie wildcard należy potraktować jako środek kompensacyjny.
W przypadku FortiManager warto przeanalizować ustawienia CLI związane z uwierzytelnianiem urządzeń, zweryfikować łańcuch zaufania certyfikatów oraz skontrolować, które certyfikaty pozostają aktywne i jakie mają uprawnienia. Dobrą praktyką jest również rotacja materiału kryptograficznego oraz monitorowanie nietypowych rejestracji i zmian statusu zarządzanych urządzeń.
Dla FortiClient na Windows kluczowe jest ograniczenie możliwości manipulacji ruchem DNS poprzez stosowanie zaufanych resolverów, segmentację sieci i monitorowanie anomalii w odpowiedziach DNS. Warto także objąć stacje końcowe rozszerzonym monitoringiem EDR i korelacją zdarzeń DNS z próbami uruchamiania nietypowych procesów.
- Natychmiastowe wdrożenie poprawek bezpieczeństwa
- Przegląd konfiguracji administracyjnych i niestandardowych ustawień
- Weryfikacja logów uwierzytelniania i zdarzeń administracyjnych
- Kontrola zmian konfiguracji poza standardowym oknem serwisowym
- Aktualizacja reguł detekcji w SIEM i SOAR
- Test procedur awaryjnych i odtwarzania konfiguracji
Podsumowanie
Najnowszy pakiet poprawek Fortinet obejmuje luki dotykające kluczowych mechanizmów uwierzytelniania i zaufania w FortiWeb oraz FortiManager. Choć część z nich wymaga specyficznej konfiguracji lub spełnienia dodatkowych warunków, ich potencjalny wpływ na bezpieczeństwo środowiska pozostaje znaczący.
Dla administratorów oznacza to konieczność szybkiego wdrożenia aktualizacji, przeglądu konfiguracji oraz wzmocnienia monitoringu w obszarach związanych z dostępem uprzywilejowanym, certyfikatami i ruchem DNS. W praktyce to kolejny sygnał, że platformy bezpieczeństwa same wymagają równie rygorystycznego zarządzania ryzykiem jak każdy inny krytyczny element infrastruktury IT.