13 октября 2026 года компания Fortinet опубликовала бюллетень FG-IR-26-178, описывающий уязвимости типа SQL-инъекция (CWE-89) в продуктах FortiAnalyzer, FortiManager и их облачных версиях. Уязвимости позволяют пользователю с низкими привилегиями выполнять произвольные команды через специально сформированные запросы к графическому интерфейсу. Бюллетень объединяет четыре CVE-идентификатора и получил от Fortinet общую оценку CVSSv3 7.9 (High), однако индивидуальные оценки отдельных CVE в реестрах расходятся — от 6.5 до 8.8. Организациям, использующим затронутые ветки 7.2, 7.4 и 7.6, необходимо незамедлительно обновиться или мигрировать на исправленные релизы.
Технические детали уязвимостей
Бюллетень охватывает четыре CVE: CVE-2025-46773, CVE-2026-23705, CVE-2026-23706 и CVE-2026-23707. Все они классифицированы как SQL-инъекция (CWE-89) и связаны с компонентом GUI. Атака требует аутентификации — злоумышленнику необходима учётная запись с низкими привилегиями. Результатом успешной эксплуатации является выполнение несанкционированного кода или команд, включая произвольное чтение и запись файлов.
Fortinet присвоила бюллетеню общую оценку CVSSv3 7.9 (High). Однако эту оценку не следует распространять на каждую из четырёх CVE: согласно записи в NVD для CVE-2025-46773, CNA-оценка составляет 8.8 (вектор CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H), тогда как запись CVE.org для CVE-2026-23707 фиксирует оценку 6.5 (Medium). Это означает, что реальная критичность отдельных уязвимостей в составе бюллетеня существенно различается.
Расхождение в привязке CVE-2025-46773
Отдельного внимания заслуживает CVE-2025-46773: хотя бюллетень FG-IR-26-178 включает этот идентификатор в свой список, запись NVD для данной CVE ссылается на другой бюллетень Fortinet — FG-IR-25-246 — и описывает более узкую область затронутых продуктов (только FortiAnalyzer и FortiAnalyzer Cloud). Доступные данные не позволяют однозначно установить, является ли это перекрёстной ссылкой или ошибкой в привязке. При планировании исправлений рекомендуется учитывать оба бюллетеня.
Затронутые версии и рекомендации по обновлению
Матрица затронутых версий различается между продуктами и формами развёртывания. Ветки 8.0 всех продуктов не затронуты.
FortiAnalyzer (on-premises)
- 7.6.0–7.6.4 — обновить до 7.6.5 или выше
- 7.4.0–7.4.7 — обновить до 7.4.8 или выше
- 7.2 (все версии) — миграция на исправленный релиз
FortiManager (on-premises)
- 7.6.0–7.6.4 — обновить до 7.6.5 или выше
- 7.4.0–7.4.6 — обновить до 7.4.7 или выше
- 7.2 (все версии) — миграция на исправленный релиз
FortiAnalyzer Cloud
- 7.6.2–7.6.4 — обновить до 7.6.5 или выше
- 7.4.1–7.4.7 — обновить до 7.4.8 или выше
- 7.2.1–7.2.11 — обновить до 7.2.12 или выше
FortiManager Cloud
- 7.6.2–7.6.4 — обновить до 7.6.5 или выше
- Ветки 8.0, 7.4 и 7.2 — не затронуты
Критически важный момент: для on-premises развёртываний FortiAnalyzer и FortiManager ветки 7.2 не имеют патча в рамках своей линейки — Fortinet рекомендует полную миграцию на исправленный релиз. Это существенно усложняет процесс обновления по сравнению с ветками 7.4 и 7.6, где достаточно стандартного обновления. Облачные версии продуктов имеют более узкие диапазоны затронутых версий и конкретные целевые релизы для всех веток.
Оценка воздействия
FortiAnalyzer и FortiManager — центральные компоненты управления безопасностью в инфраструктурах Fortinet. FortiAnalyzer агрегирует журналы и аналитику со всех устройств Fortinet в сети, а FortiManager управляет конфигурациями и политиками. Компрометация любого из этих продуктов потенциально даёт злоумышленнику доступ к журналам безопасности, конфигурациям межсетевых экранов и политикам всей инфраструктуры.
Согласно бюллетеню Fortinet, уязвимость обнаружена внутренними исследователями компании, а статус активной эксплуатации обозначен как «No». Однако независимых подтверждений отсутствия эксплуатации в доступных материалах не обнаружено — статус эксплуатации следует считать неустановленным, а не гарантированно безопасным. Ни одна из четырёх CVE не внесена в каталог CISA KEV на момент публикации.
Ранее мы уже освещали уязвимости в продуктах Fortinet — в частности, обход аутентификации FortiSandbox с оценкой CVSS 9.6. Текущий бюллетень подтверждает, что продуктовая линейка управления безопасностью Fortinet остаётся объектом пристального внимания исследователей.
Практические рекомендации
- Определите затронутые развёртывания. Проверьте версии FortiAnalyzer и FortiManager (включая облачные) по матрице выше. Обратите внимание на различия в затронутых диапазонах между on-premises и облачными продуктами.
- Приоритизируйте ветку 7.2. Развёртывания на ветке 7.2 (on-premises) требуют миграции, а не обновления — планируйте этот процесс как приоритетный, поскольку он наиболее трудоёмкий.
- Обновите ветки 7.4 и 7.6 до указанных исправленных версий (7.4.7/7.4.8 и 7.6.5 соответственно, в зависимости от продукта).
- Проведите аудит учётных записей с доступом к GUI FortiAnalyzer и FortiManager. Поскольку атака требует аутентификации, минимизация числа учётных записей и применение принципа наименьших привилегий снижают поверхность атаки.
- Отслеживайте оба бюллетеня — FG-IR-26-178 и FG-IR-25-246 — для полного понимания области затронутых продуктов, связанных с CVE-2025-46773.
Учитывая, что FortiAnalyzer и FortiManager управляют конфигурациями и журналами всей инфраструктуры безопасности, обновление этих компонентов должно быть приоритетнее обновления конечных устройств. Организациям на ветке 7.2 следует начать планирование миграции немедленно, а администраторам веток 7.4 и 7.6 — применить доступные патчи в ближайшее окно обслуживания.
