Публичный PoC-эксплойт для критической уязвимости FortiSIEM позволяет выполнить код без аутентификации

Исследователи Horizon3.ai опубликовали рабочий PoC-эксплойт для критической уязвимости CVE-2026-106173 в Fortinet FortiSIEM. Уязвимость типа path traversal (обход каталога) с оценкой CVSS 9.4 позволяет неаутентифицированному атакующему записывать произвольные файлы в файловую систему и добиться удалённого выполнения кода. Уязвимый сервис gRPC доступен по TCP-порту 27918 без аутентификации и без клиентского сертификата, а наличие публичного эксплойта делает обновление неотложной задачей для всех организаций, использующих FortiSIEM. Мы уже писали об этой уязвимости при выходе бюллетеня Fortinet — теперь ситуация обострилась из-за появления готового инструмента атаки.

Механизм эксплуатации

Согласно техническому анализу Horizon3.ai, уязвимость находится в обработчике QueryResultReq сервиса gRPC. Функция SendQueryResult() принимает пользовательский параметр query-id и использует его для формирования пути к файлу без надлежащей валидации. Атака комбинирует два приёма:

• Обход каталога — последовательности ../ в параметре query-id позволяют выйти за пределы целевой директории и записать данные в произвольное место файловой системы.
• Инъекция нулевого байта — символ \0, встроенный в query-id, заставляет операционную систему интерпретировать его как конец строки. Это отсекает суффикс имени файла, который программа добавляет автоматически (формат result-<IP>-0-0-<id>.dat), и даёт атакующему полный контроль над именем записываемого файла.

По данным Horizon3.ai, при перезаписи существующего файла сохраняются его исходные права и владелец. Это критически важно для превращения записи файла в выполнение кода: атакующий может перезаписать скрипт /opt/charting/redishb.sh — shell-скрипт проверки состояния Redis, который выполняется каждые 60 секунд по расписанию cron. Таким образом, вредоносный код будет исполнен в течение минуты после записи файла.

Затронутые версии

Согласно записи CNA, уязвимость затрагивает значительно более широкий спектр версий, чем указано в некоторых новостных источниках:

• FortiSIEM 7.5.0
• FortiSIEM 7.4.0 – 7.4.2
• FortiSIEM 7.3.0 – 7.3.5
• FortiSIEM 7.2.0 – 7.2.7
• FortiSIEM 7.1.0 – 7.1.9
• FortiSIEM 7.0.0 – 7.0.4

Важно: исходный новостной материал упоминает только версию 7.5.0 с рекомендацией обновиться до 7.5.1, однако запись CNA содержит расширенную матрицу затронутых версий. Полную информацию о доступных исправлениях для каждой ветки рекомендуется уточнять в официальном бюллетене Fortinet FG-IR-26-180.

Статус эксплуатации и обнаружение

На момент публикации публичный PoC-эксплойт доступен, однако подтверждённых случаев эксплуатации в реальных атаках не зафиксировано. По данным Horizon3.ai, журналы приложения FortiSIEM не содержат явных следов эксплуатации этой уязвимости, что затрудняет обнаружение атак стандартными средствами мониторинга.

Для проверки возможной компрометации Horizon3.ai рекомендует обратить внимание на следующие файлы:

• /opt/charting/redishb.sh — скрипт проверки Redis, выполняемый по cron
• /opt/phoenix/bin/phLicenseTool

Необходимо проверить временные метки модификации этих файлов и сравнить их содержимое с эталонными копиями. Изменение содержимого или даты модификации без легитимного обновления может свидетельствовать о компрометации.

Рекомендации

Учитывая наличие публичного эксплойта и отсутствие аутентификации на уязвимом сервисе, приоритет обновления — максимальный, особенно для развёртываний FortiSIEM с доступным извне TCP-портом 27918:

1. Обновите FortiSIEM до исправленной версии в соответствии с бюллетенем FG-IR-26-180. Для ветки 7.5.x — до версии 7.5.1 или выше.
2. Ограничьте сетевой доступ к порту TCP/27918 средствами межсетевого экранирования. Этот порт не должен быть доступен из недоверенных сетей.
3. Проверьте целостность файлов/opt/charting/redishb.sh и /opt/phoenix/bin/phLicenseTool на предмет несанкционированных изменений.
4. Проведите аудит сетевых подключений к порту 27918 в журналах сетевого оборудования за период до установки патча.

Эта уязвимость — часть серии критических проблем в продуктах Fortinet, выявленных в октябре 2026 года. Ранее мы освещали обход аутентификации в FortiSandbox (CVSS 9.6) и SQL-инъекции в FortiAnalyzer и FortiManager. Организациям, использующим продукты Fortinet, следует провести комплексную ревизию установленных версий всей продуктовой линейки и убедиться, что все актуальные бюллетени безопасности применены.