Fortinet опублікувала бюлетень безпеки FG-IR-26-180, у якому описано критичну вразливість обходу шляху (path traversal) у FortiSIEM — платформі керування інформацією та подіями безпеки. Згідно з бюлетенем виробника, вразливість отримала оцінку CVSSv3 9.4 і дає змогу неавтентифікованому зловмиснику виконати несанкціонований код або команди через спеціально сформовані мережеві пакети. Організаціям, які використовують FortiSIEM, слід негайно провести інвентаризацію та оцінити вразливість своїх розгортань до цієї загрози.
Технічні деталі вразливості
Вразливість класифіковано як CWE-22 — некоректне обмеження шляху до каталогу (path traversal). Заголовок бюлетеня вказує на уражений компонент: gRPC phQueryMaster, а характер проблеми описано як довільний запис файлів (arbitrary file write). Це означає, що зловмисник може, маніпулюючи шляхами в запитах до gRPC-інтерфейсу, записати довільні файли у файлову систему цільового сервера.
Ключові характеристики вразливості:
- Ідентифікатор: FG-IR-26-180 (CVE-ідентифікатор на момент публікації бюлетеня не призначено)
- Оцінка CVSSv3: 9.4 (критична), присвоєна Fortinet; незалежної оцінки не виявлено
- Уражений продукт: FortiSIEM
- Вектор атаки: мережевий, через спеціально сформовані пакети
- Автентифікація: не потрібна
- Потенційний вплив: виконання несанкціонованого коду або команд
Поєднання довільного запису файлів з відсутністю вимоги до автентифікації робить цю вразливість особливо небезпечною. Зловмисник, який має мережевий доступ до gRPC-інтерфейсу phQueryMaster, потенційно може записати шкідливий файл у критично важливий каталог — наприклад, підмінити конфігураційний файл або розмістити виконуваний код — і домогтися виконання команд на сервері.
Що залишається невідомим
Бюлетень Fortinet у поточній редакції містить низку суттєвих прогалин. Не зазначено уражені версії FortiSIEM, не наведено виправлені релізи й не подано конкретних рекомендацій щодо усунення вразливості. Також відсутня інформація про те, чи експлуатується вразливість у реальних атаках — статус експлуатації залишається невідомим. Бюлетень датований 13 жовтня 2026 року, і ймовірно, що деталізацію буде доповнено в подальших редакціях.
Оцінка впливу
FortiSIEM — це SIEM-платформа корпоративного класу, яку широко використовують у центрах моніторингу безпеки (SOC), у постачальників керованих послуг безпеки (MSSP) та у великих організаціях для збирання й кореляції подій безпеки. Компрометація SIEM-системи становить особливу небезпеку: зловмисник отримує не лише точку присутності в інфраструктурі, а й доступ до агрегованих даних про події безпеки всієї організації, що може бути використано для планування подальших атак і приховування слідів.
Оцінка CVSS 9.4 від Fortinet відображає високу критичність: віддалений вектор атаки, відсутність необхідності автентифікації та можливість виконання коду. Раніше ми вже писали про критичні вразливості в продуктах Fortinet — зокрема, про вразливість FortiSandbox з CVSS 8.9 і обхід автентифікації в FortiMonitorOnSight, що вказує на сталий потік критичних проблем безпеки в екосистемі Fortinet.
Рекомендації
Оскільки Fortinet поки не опублікувала інформацію про уражені версії та виправлення, доступні заходи обмежуються компенсуючими контролями:
- Інвентаризація: визначте всі екземпляри FortiSIEM в інфраструктурі та зафіксуйте їхні версії
- Обмеження мережевого доступу: переконайтеся, що gRPC-інтерфейс phQueryMaster недоступний із недовірених мереж. Обмежте доступ до нього засобами сегментації мережі та міжмережевого екранування
- Моніторинг: посильте моніторинг мережевого трафіку до серверів FortiSIEM, звертаючи увагу на аномальні gRPC-запити та нетипові операції запису файлів
- Відстеження оновлень: регулярно перевіряйте сторінку бюлетенів безпеки Fortinet на предмет оновлення FG-IR-26-180 із зазначенням уражених версій і патчів
З огляду на оцінку CVSSv3 9.4 та можливість віддаленого виконання коду без автентифікації, організаціям, які використовують FortiSIEM, слід розглядати цю вразливість як пріоритетну. Ключова дія зараз — обмежити мережевий доступ до gRPC-інтерфейсу phQueryMaster лише довіреними вузлами та підготуватися до оперативного застосування патча, щойно Fortinet опублікує інформацію про виправлені версії.
