Fortinet опублікувала бюлетень безпеки FG-IR-26-186, у якому повідомляє про розслідування впливу критичної вразливості в ядрі PHP — CVE-2026-109618 — на свою лінійку продуктів. Вразливість отримала оцінку CVSSv3 9.8 і класифікована як критична. Вона дає змогу неавтентифікованому зловмиснику досягти віддаленого виконання коду (RCE) через маніпуляції з обробкою помилок нестачі пам’яті. Станом на момент публікації бюлетеня 12 продуктів Fortinet перебувають на стадії розслідування, ще 12 визнані неураженими. Конкретні уражені версії та патчі в наявному матеріалі бюлетеня не вказані.
Механізм вразливості
Згідно з описом Fortinet, CVE-2026-109618 пов’язана з тим, як PHP використовує функцію longjmp() для обробки помилок нестачі пам’яті (OOM — out-of-memory). При виникненні OOM-помилки PHP здійснює вихід з поточного контексту та перериває обробку запиту. Проблема полягає в тому, що деякі контексти не враховують цей сценарій коректно: пам’ять запиту залишається в неініціалізованому стані після спроби виділення пам’яті. Подальша процедура очищення запиту зчитує цю пам’ять або приймає рішення на її основі. Різні стратегії провокування OOM дають змогу стабільно відтворити цей стан і досягти виконання довільного коду.
Ключові характеристики вразливості за даними Fortinet:
- CVE ID: CVE-2026-109618
- CVSSv3: 9.8 (Critical)
- Тип атаки: без автентифікації
- Вплив: виконання несанкціонованого коду або команд
- Джерело: стороння бібліотека (PHP)
- Відома експлуатація: за даними Fortinet, станом на момент публікації не зафіксована
Заголовок бюлетеня також згадує CVE-2026-109619, однак доступний текст бюлетеня не містить технічного опису, оцінки критичності чи переліку уражених продуктів для цього ідентифікатора.
Уражені та неуражені продукти
Fortinet поділила свої продукти на дві категорії. Наступні продукти перебувають на стадії розслідування — тобто Fortinet ще не визначила остаточно, чи є вони вразливими:
- FortiADC
- FortiADC Manager
- FortiClient EMS
- FortiDDoS
- FortiDDoS-F
- FortiSIEM
- FortiMonitor
- FortiClient Cloud
- FortiSOAR
- FortiSOAR PaaS
- FortiGuard
- FortiEndpoint
Продукти, підтверджено не уражені вразливістю:
- FortiOS, FortiManager, FortiAnalyzer
- FortiWeb, FortiMail
- FortiClient Linux, FortiClient Windows, FortiClient MacOS
- FortiSASE, FortiAuthenticator, FortiSwitch, FortiNAC
Варто наголосити: статус «під розслідуванням» не означає підтверджену вразливість. Цей список може змінюватися в міру завершення аналізу Fortinet. Наявний матеріал бюлетеня не містить інформації про уражені версії чи шляхи оновлення — це може бути пов’язано з тим, що розслідування ще триває, або з тим, що повний текст бюлетеня містить додаткові відомості.
Оцінка впливу
Поєднання трьох чинників робить CVE-2026-109618 пріоритетною для уваги: оцінка CVSS 9.8, можливість експлуатації без автентифікації та широкий спектр потенційно уражених продуктів. У списку продуктів, що розслідуються, — рішення для керування трафіком (FortiADC), SIEM-системи (FortiSIEM), платформи оркестрації безпеки (FortiSOAR) і засоби захисту від DDoS. Ці продукти, як правило, розгорнуті в критичній інфраструктурі безпеки організацій.
Варто зазначити, що раніше ми вже висвітлювали критичні вразливості в продуктах Fortinet, зокрема критичну вразливість FortiSIEM з CVSS 9.4 і обхід автентифікації FortiSandbox з CVSS 9.6. FortiSIEM знову опинився в списку продуктів, що розслідуються, що підкреслює необхідність пильно відстежувати оновлення для цієї платформи.
Рекомендації
Оскільки Fortinet не опублікувала в наявному матеріалі бюлетеня конкретних версій для оновлення чи тимчасових рішень, рекомендації на цей момент обмежуються таким:
- Моніторинг бюлетеня: відстежуйте оновлення FG-IR-26-186 — Fortinet може доповнити його інформацією про уражені версії та патчі в міру завершення розслідування
- Інвентаризація: визначте, чи використовуються у вашій інфраструктурі продукти зі списку тих, що розслідуються, і підготуйте план оперативного оновлення
- Мережева сегментація: обмежте мережевий доступ до інтерфейсів керування продуктів, що розслідуються, мінімізуючи поверхню атаки до виходу остаточних рекомендацій вендора
- Моніторинг аномалій: посильте спостереження за продуктами, що розслідуються, на предмет нетипової активності — аномального споживання пам’яті, неочікуваних процесів або підозрілих мережевих з’єднань
Організаціям, які експлуатують продукти зі списку тих, що розслідуються — особливо FortiSIEM, FortiSOAR і FortiADC, — варто вже зараз підготувати процедуру термінового оновлення та обмежити зовнішній доступ до цих систем. Щойно Fortinet завершить розслідування й опублікує конкретні версії з виправленнями, зволікання з їхнім застосуванням за CVSS 9.8 та відсутності вимоги автентифікації становитиме серйозний ризик.
