13 жовтня 2026 року компанія Fortinet опублікувала бюлетень безпеки FG-IR-26-178, у якому описано вразливості типу SQL injection (CWE-89) у продуктах FortiAnalyzer, FortiManager та їхніх хмарних версіях. Ці вразливості дають користувачеві з низькими привілеями змогу виконувати довільні команди через спеціально сформовані запити до графічного інтерфейсу. Бюлетень об’єднує чотири CVE-ідентифікатори й отримав від Fortinet загальну оцінку CVSSv3 7.9 (High), однак індивідуальні оцінки окремих CVE в реєстрах відрізняються — від 6.5 до 8.8. Організаціям, що використовують уражені гілки 7.2, 7.4 і 7.6, необхідно негайно оновитися або мігрувати на виправлені релізи.
Технічні деталі вразливостей
Бюлетень охоплює чотири CVE: CVE-2025-46773, CVE-2026-23705, CVE-2026-23706 і CVE-2026-23707. Усі вони класифіковані як SQL injection (CWE-89) і пов’язані з компонентом GUI. Атака потребує автентифікації — зловмиснику потрібен обліковий запис із низькими привілеями. Результатом успішної експлуатації є виконання несанкціонованого коду чи команд, зокрема довільне читання й запис файлів.
Fortinet присвоїла бюлетеню загальну оцінку CVSSv3 7.9 (High). Однак цю оцінку не слід поширювати на кожну з чотирьох CVE: згідно із записом у NVD для CVE-2025-46773, оцінка CNA становить 8.8 (вектор CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H), тоді як запис CVE.org для CVE-2026-23707 фіксує оцінку 6.5 (Medium). Це означає, що реальна критичність окремих вразливостей у складі бюлетеня суттєво відрізняється.
Розбіжності в прив’язці CVE-2025-46773
Окремої уваги заслуговує CVE-2025-46773: хоча бюлетень FG-IR-26-178 включає цей ідентифікатор до свого переліку, запис NVD для цієї CVE посилається на інший бюлетень Fortinet — FG-IR-25-246 — і описує вужчу область уражених продуктів (лише FortiAnalyzer і FortiAnalyzer Cloud). Наявних даних недостатньо, щоб однозначно встановити, чи є це перехресним посиланням, чи помилкою у прив’язці. Під час планування впровадження виправлень рекомендується враховувати обидва бюлетені.
Уражені версії та рекомендації щодо оновлення
Матриця уражених версій відрізняється між продуктами та формами розгортання. Гілки 8.0 всіх продуктів не уражені.
FortiAnalyzer (on-premises)
- 7.6.0–7.6.4 — оновити до 7.6.5 або вище
- 7.4.0–7.4.7 — оновити до 7.4.8 або вище
- 7.2 (усі версії) — міграція на виправлений реліз
FortiManager (on-premises)
- 7.6.0–7.6.4 — оновити до 7.6.5 або вище
- 7.4.0–7.4.6 — оновити до 7.4.7 або вище
- 7.2 (усі версії) — міграція на виправлений реліз
FortiAnalyzer Cloud
- 7.6.2–7.6.4 — оновити до 7.6.5 або вище
- 7.4.1–7.4.7 — оновити до 7.4.8 або вище
- 7.2.1–7.2.11 — оновити до 7.2.12 або вище
FortiManager Cloud
- 7.6.2–7.6.4 — оновити до 7.6.5 або вище
- Гілки 8.0, 7.4 і 7.2 — не уражені
Критично важливий момент: для on-premises розгортань FortiAnalyzer і FortiManager гілки 7.2 не мають патча в межах своєї лінійки — Fortinet рекомендує повну міграцію на виправлений реліз. Це суттєво ускладнює процес оновлення порівняно з гілками 7.4 і 7.6, де достатньо стандартного оновлення. Хмарні версії продуктів мають вужчі діапазони уражених версій і конкретні цільові релізи для всіх гілок.
Оцінка впливу
FortiAnalyzer і FortiManager — центральні компоненти керування безпекою в інфраструктурах Fortinet. FortiAnalyzer агрегує журнали та аналітику з усіх пристроїв Fortinet у мережі, а FortiManager керує конфігураціями та політиками. Компрометація будь-якого з цих продуктів потенційно дає зловмиснику доступ до журналів безпеки, конфігурацій міжмережевих екранів і політик усієї інфраструктури.
Згідно з бюлетенем Fortinet, вразливість виявлена внутрішніми дослідниками компанії, а стан активної експлуатації позначено як «No». Втім, незалежних підтверджень відсутності експлуатації в наявних матеріалах не виявлено — стан експлуатації слід вважати невстановленим, а не гарантовано безпечним. Жодна з чотирьох CVE не внесена до каталогу CISA KEV на момент публікації.
Раніше ми вже висвітлювали вразливості в продуктах Fortinet — зокрема, обхід автентифікації FortiSandbox з оцінкою CVSS 9.6. Поточний бюлетень підтверджує, що продуктова лінійка керування безпекою Fortinet залишається об’єктом пильної уваги дослідників.
Практичні рекомендації
- Визначте уражені розгортання. Перевірте версії FortiAnalyzer і FortiManager (включно з хмарними) за наведеною вище матрицею. Зверніть увагу на відмінності в діапазонах уражених версій між on-premises і хмарними продуктами.
- Пріоритизуйте гілку 7.2. Розгортання на гілці 7.2 (on-premises) потребують міграції, а не оновлення — плануйте цей процес як пріоритетний, оскільки він є найтрудомісткішим.
- Оновіть гілки 7.4 і 7.6 до вказаних виправлених версій (7.4.7/7.4.8 і 7.6.5 відповідно, залежно від продукту).
- Проведіть аудит облікових записів з доступом до GUI FortiAnalyzer і FortiManager. Оскільки атака потребує автентифікації, мінімізація кількості облікових записів і застосування принципу найменших привілеїв зменшують площу атаки.
- Відстежуйте обидва бюлетені — FG-IR-26-178 і FG-IR-25-246 — для повного розуміння області уражених продуктів, пов’язаних із CVE-2025-46773.
Беручи до уваги, що FortiAnalyzer і FortiManager керують конфігураціями та журналами всієї інфраструктури безпеки, оновлення цих компонентів має бути пріоритетнішим за оновлення кінцевих пристроїв. Організаціям на гілці 7.2 слід негайно розпочати планування міграції, а адміністраторам гілок 7.4 і 7.6 — застосувати доступні патчі в найближче вікно обслуговування.
