Дослідники Horizon3.ai опублікували робочий PoC-експлойт для критичної вразливості CVE-2026-106173 у Fortinet FortiSIEM. Вразливість типу path traversal (обхід каталогів) з оцінкою CVSS 9.4 дає змогу неавтентифікованому зловмиснику записувати довільні файли у файлову систему та досягти віддаленого виконання коду. Уразливий сервіс gRPC доступний на TCP-порті 27918 без автентифікації та без клієнтського сертифіката, а наявність публічного експлойта робить оновлення невідкладним завданням для всіх організацій, що використовують FortiSIEM. Ми вже писали про цю вразливість під час виходу бюлетеня Fortinet — тепер ситуація загострилася через появу готового інструмента атаки.
Механізм експлуатації
Згідно з технічним аналізом Horizon3.ai, вразливість знаходиться в обробнику QueryResultReq сервісу gRPC. Функція SendQueryResult() приймає користувацький параметр query-id і використовує його для формування шляху до файлу без належної валідації. Атака комбінує два прийоми:
- Обхід каталогу — послідовності
../у параметріquery-idдають змогу вийти за межі цільового каталогу та записати дані в довільне місце файлової системи. - Інʼєкція нульового байта — символ
\\0, вбудований уquery-id, змушує операційну систему інтерпретувати його як кінець рядка. Це відтинає суфікс імені файлу, який програма додає автоматично (форматresult-<IP>-0-0-<id>.dat), і дає зловмиснику повний контроль над іменем файла, що записується.
За даними Horizon3.ai, під час перезапису наявного файла зберігаються його початкові права та власник. Це критично важливо для перетворення запису файла на виконання коду: зловмисник може перезаписати скрипт /opt/charting/redishb.sh — shell-скрипт перевірки стану Redis, який виконується кожні 60 секунд за розкладом cron. Таким чином, шкідливий код буде виконаний протягом хвилини після запису файла.
Зачеплені версії
Згідно із записом CNA, вразливість зачіпає значно ширший спектр версій, ніж зазначено в деяких новинних джерелах:
- FortiSIEM 7.5.0
- FortiSIEM 7.4.0 – 7.4.2
- FortiSIEM 7.3.0 – 7.3.5
- FortiSIEM 7.2.0 – 7.2.7
- FortiSIEM 7.1.0 – 7.1.9
- FortiSIEM 7.0.0 – 7.0.4
Важливо: початковий новинний матеріал згадує лише версію 7.5.0 з рекомендацією оновитися до 7.5.1, однак запис CNA містить розширену матрицю зачеплених версій. Повну інформацію про доступні виправлення для кожної гілки рекомендується уточнювати в офіційному бюлетені Fortinet FG-IR-26-180.
Статус експлуатації та виявлення
На момент публікації публічний PoC-експлойт доступний, однак підтверджених випадків експлуатації в реальних атаках не зафіксовано. За даними Horizon3.ai, журнали застосунку FortiSIEM не містять очевидних слідів експлуатації цієї вразливості, що ускладнює виявлення атак стандартними засобами моніторингу.
Для перевірки можливої компрометації Horizon3.ai рекомендує звернути увагу на такі файли:
/opt/charting/redishb.sh— скрипт перевірки Redis, який виконується по cron/opt/phoenix/bin/phLicenseTool
Необхідно перевірити часові позначки модифікації цих файлів і порівняти їхній вміст із еталонними копіями. Зміна вмісту або дати модифікації без легітимного оновлення може свідчити про компрометацію.
Рекомендації
З огляду на наявність публічного експлойта та відсутність автентифікації на уразливому сервісі, пріоритет оновлення — максимальний, особливо для розгортань FortiSIEM із доступним ззовні TCP-портом 27918:
- Оновіть FortiSIEM до виправленої версії відповідно до бюлетеня FG-IR-26-180. Для гілки 7.5.x — до версії 7.5.1 або вище.
- Обмежте мережевий доступ до порту TCP/27918 засобами міжмережевого екранування. Цей порт не повинен бути доступний із недовірених мереж.
- Перевірте цілісність файлів
/opt/charting/redishb.shі/opt/phoenix/bin/phLicenseToolна предмет несанкціонованих змін. - Проведіть аудит мережевих підключень до порту 27918 в журналах мережевого обладнання за період до встановлення патча.
Ця вразливість — частина серії критичних проблем у продуктах Fortinet, виявлених у жовтні 2026 року. Раніше ми висвітлювали обхід автентифікації в FortiSandbox (CVSS 9.6) та SQL injection у FortiAnalyzer і FortiManager. Організаціям, що використовують продукти Fortinet, слід провести комплексну ревізію встановлених версій усієї продуктової лінійки та переконатися, що всі актуальні бюлетені безпеки застосовані.
