Fortinet опубликовала бюллетень безопасности FG-IR-26-180, описывающий критическую уязвимость обхода пути (path traversal) в FortiSIEM — платформе управления информацией и событиями безопасности. Согласно бюллетеню вендора, уязвимость получила оценку CVSSv3 9.4 и позволяет неаутентифицированному злоумышленнику выполнить несанкционированный код или команды через специально сформированные сетевые пакеты. Организациям, использующим FortiSIEM, следует немедленно провести инвентаризацию и оценку подверженности своих развёртываний этой угрозе.
Технические детали уязвимости
Уязвимость классифицирована как CWE-22 — некорректное ограничение пути к каталогу (path traversal). Заголовок бюллетеня указывает на затронутый компонент: gRPC phQueryMaster, а характер проблемы описан как произвольная запись файлов (arbitrary file write). Это означает, что атакующий может через манипуляцию путями в запросах к gRPC-интерфейсу записать произвольные файлы в файловую систему целевого сервера.
Ключевые характеристики уязвимости:
- Идентификатор: FG-IR-26-180 (CVE-идентификатор на момент публикации бюллетеня не назначен)
- Оценка CVSSv3: 9.4 (критическая), присвоена Fortinet; независимая оценка не обнаружена
- Затронутый продукт: FortiSIEM
- Вектор атаки: сетевой, через специально сформированные пакеты
- Аутентификация: не требуется
- Потенциальное воздействие: выполнение несанкционированного кода или команд
Сочетание произвольной записи файлов с отсутствием требования аутентификации делает эту уязвимость особенно опасной. Атакующий, имеющий сетевой доступ к gRPC-интерфейсу phQueryMaster, потенциально может записать вредоносный файл в критически важную директорию — например, подменить конфигурационный файл или разместить исполняемый код — и добиться выполнения команд на сервере.
Что остаётся неизвестным
Бюллетень Fortinet в текущей редакции содержит ряд существенных пробелов. Не указаны затронутые версии FortiSIEM, не названы исправленные релизы и не приведены конкретные рекомендации по устранению уязвимости. Также отсутствует информация о том, эксплуатируется ли уязвимость в реальных атаках — статус эксплуатации остаётся неизвестным. Бюллетень датирован 13 октября 2026 года, и вероятно, что детализация будет дополнена в последующих ревизиях.
Оценка воздействия
FortiSIEM — это SIEM-платформа корпоративного класса, широко используемая в центрах мониторинга безопасности (SOC), у поставщиков управляемых услуг безопасности (MSSP) и в крупных организациях для сбора и корреляции событий безопасности. Компрометация SIEM-системы представляет особую опасность: злоумышленник получает не только точку присутствия в инфраструктуре, но и доступ к агрегированным данным о событиях безопасности всей организации, что может быть использовано для планирования дальнейших атак и сокрытия следов.
Оценка CVSS 9.4 от Fortinet отражает высокую критичность: удалённый вектор атаки, отсутствие необходимости аутентификации и возможность выполнения кода. Ранее мы уже писали о критических уязвимостях в продуктах Fortinet — в частности, об уязвимости FortiSandbox с CVSS 8.9 и обходе аутентификации в FortiMonitorOnSight, что указывает на устойчивый поток критических проблем безопасности в экосистеме Fortinet.
Рекомендации
Поскольку Fortinet пока не опубликовала информацию о затронутых версиях и исправлениях, доступные меры ограничены компенсирующими контролями:
- Инвентаризация: определите все экземпляры FortiSIEM в инфраструктуре и зафиксируйте их версии
- Ограничение сетевого доступа: убедитесь, что gRPC-интерфейс phQueryMaster недоступен из недоверенных сетей. Ограничьте доступ к нему средствами сетевой сегментации и межсетевого экранирования
- Мониторинг: усильте мониторинг сетевого трафика к серверам FortiSIEM, обращая внимание на аномальные gRPC-запросы и нетипичные операции записи файлов
- Отслеживание обновлений: регулярно проверяйте страницу бюллетеней безопасности Fortinet на предмет обновления FG-IR-26-180 с указанием затронутых версий и патчей
При оценке CVSSv3 9.4 и возможности удалённого выполнения кода без аутентификации организациям, эксплуатирующим FortiSIEM, следует рассматривать эту уязвимость как приоритетную. Ключевое действие прямо сейчас — ограничить сетевой доступ к gRPC-интерфейсу phQueryMaster только доверенными узлами и подготовиться к оперативному применению патча, как только Fortinet опубликует информацию об исправленных версиях.
