Fortinet опубликовала бюллетень безопасности FG-IR-26-186, в котором сообщает о расследовании влияния критической уязвимости в ядре PHP — CVE-2026-109618 — на свою продуктовую линейку. Уязвимость получила оценку CVSSv3 9.8 и классифицирована как критическая. Она позволяет неаутентифицированному атакующему добиться удалённого выполнения кода (RCE) через манипуляцию обработкой ошибок нехватки памяти. На момент публикации бюллетеня 12 продуктов Fortinet находятся на стадии расследования, ещё 12 признаны незатронутыми. Конкретные затронутые версии и патчи в доступном материале бюллетеня не указаны.
Механизм уязвимости
Согласно описанию Fortinet, CVE-2026-109618 связана с тем, как PHP использует функцию longjmp() для обработки ошибок нехватки памяти (OOM — out-of-memory). При возникновении OOM-ошибки PHP выполняет выход из текущего контекста и прерывает обработку запроса. Проблема в том, что некоторые контексты не учитывают этот сценарий корректно: память запроса остаётся в неинициализированном состоянии после попытки аллокации. Последующая процедура очистки запроса читает эту память или принимает решения на её основе. Множественные стратегии провоцирования OOM позволяют стабильно воспроизвести это состояние и добиться выполнения произвольного кода.
Ключевые характеристики уязвимости по данным Fortinet:
- CVE ID: CVE-2026-109618
- CVSSv3: 9.8 (Critical)
- Тип атаки: без аутентификации
- Воздействие: выполнение несанкционированного кода или команд
- Источник: сторонняя библиотека (PHP)
- Известная эксплуатация: по данным Fortinet, на момент публикации не зафиксирована
Заголовок бюллетеня также упоминает CVE-2026-109619, однако доступный текст бюллетеня не содержит технического описания, оценки критичности или перечня затронутых продуктов для этого идентификатора.
Затронутые и незатронутые продукты
Fortinet разделила свои продукты на две категории. Следующие продукты находятся на стадии расследования — то есть Fortinet ещё не определила окончательно, подвержены ли они уязвимости:
- FortiADC
- FortiADC Manager
- FortiClient EMS
- FortiDDoS
- FortiDDoS-F
- FortiSIEM
- FortiMonitor
- FortiClient Cloud
- FortiSOAR
- FortiSOAR PaaS
- FortiGuard
- FortiEndpoint
Продукты, подтверждённо не затронутые уязвимостью:
- FortiOS, FortiManager, FortiAnalyzer
- FortiWeb, FortiMail
- FortiClient Linux, FortiClient Windows, FortiClient MacOS
- FortiSASE, FortiAuthenticator, FortiSwitch, FortiNAC
Важно подчеркнуть: статус «под расследованием» не означает подтверждённую уязвимость. Этот список может измениться по мере завершения анализа Fortinet. Доступный материал бюллетеня не содержит информации о затронутых версиях или путях обновления — это может быть связано с тем, что расследование ещё продолжается, либо с тем, что полный текст бюллетеня содержит дополнительные сведения.
Оценка воздействия
Сочетание трёх факторов делает CVE-2026-109618 приоритетной для внимания: оценка CVSS 9.8, возможность эксплуатации без аутентификации и широкий спектр потенциально затронутых продуктов. В списке расследуемых продуктов — решения для управления трафиком (FortiADC), SIEM-системы (FortiSIEM), платформы оркестрации безопасности (FortiSOAR) и средства защиты от DDoS. Эти продукты, как правило, развёрнуты в критической инфраструктуре безопасности организаций.
Стоит отметить, что ранее мы уже освещали критические уязвимости в продуктах Fortinet, включая критическую уязвимость FortiSIEM с CVSS 9.4 и обход аутентификации FortiSandbox с CVSS 9.6. FortiSIEM вновь оказался в списке расследуемых продуктов, что подчёркивает необходимость пристального мониторинга обновлений для этой платформы.
Рекомендации
Поскольку Fortinet не опубликовала в доступном материале бюллетеня конкретных версий для обновления или обходных решений, рекомендации на текущий момент ограничены следующим:
- Мониторинг бюллетеня: отслеживайте обновления FG-IR-26-186 — Fortinet может дополнить его информацией о затронутых версиях и патчах по мере завершения расследования
- Инвентаризация: определите, используются ли в вашей инфраструктуре продукты из списка расследуемых, и подготовьте план оперативного обновления
- Сетевая сегментация: ограничьте сетевой доступ к интерфейсам управления расследуемых продуктов, минимизируя поверхность атаки до выхода окончательных рекомендаций вендора
- Мониторинг аномалий: усильте наблюдение за расследуемыми продуктами на предмет нетипичной активности — аномального потребления памяти, неожиданных процессов или подозрительных сетевых соединений
Организациям, эксплуатирующим продукты из списка расследуемых — в особенности FortiSIEM, FortiSOAR и FortiADC, — следует уже сейчас подготовить процедуру экстренного обновления и ограничить внешний доступ к этим системам. Как только Fortinet завершит расследование и опубликует конкретные версии с исправлениями, промедление с их применением при CVSS 9.8 и отсутствии требования аутентификации будет представлять серьёзный риск.
