FortiWeb'de RADIUS yönetici yapılandırmasına bağlı 9.8 puanlı kimlik doğrulama açığı

Fortinet, web uygulama güvenlik duvarı FortiWeb'in uzak yönetici kimlik doğrulamasında bulunan bir açığı 12 Ağustos 2026'da duyurdu. FG-IR-26-158 numaralı bildirimdeki CVE-2026-26035, CVSSv3'te 9.8 temel puan aldı; Fortinet ise önem derecesini "yüksek" olarak belirledi.

Açık hangi koşulda ortaya çıkıyor?

Sorun, RADIUS türündeki uzak yönetici hesaplarının kimlik doğrulamasında yaşanan hatalı doğrulamadan (CWE-287) kaynaklanıyor. Bildirime göre açık yalnızca belirli ve varsayılan olmayan ayarlarla yapılandırılmış kurulumları etkiliyor. Bu koşul sağlandığında kimliği doğrulanmamış uzak bir saldırgan, rastgele bir kullanıcı adı ve parola ile FortiWeb'in grafik arayüzüne veya komut satırına giriş yapabiliyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Fortinet, belirleyici ayarın uzak yönetici hesabındaki joker karakter (wildcard) seçeneği olduğunu belirtiyor. Açık bir Fortinet denetimi sırasında şirket içinde tespit edildi; bildirim yayımlandığında istismar edildiğine dair bilgi yoktu.

Etkilenen ve düzeltilmiş sürümler

• FortiWeb 8.0: 8.0.0–8.0.2 → 8.0.3 veya üstü.
• FortiWeb 7.6: 7.6.0–7.6.6 → 7.6.7 veya üstü.
• FortiWeb 7.4: 7.4.0–7.4.11 → 7.4.12 veya üstü.
• FortiWeb 7.2: 7.2.0–7.2.12 → 7.2.13 veya üstü.

Geçici çözüm

Hemen yükseltme yapılamayan cihazlarda, Fortinet'in önerisi uzak (Remote) türdeki yönetici hesaplarında wildcard seçeneğini kapatmak. Bu işlem arayüzde Sistem > Yöneticiler menüsünden ilgili hesabın düzenlenmesiyle ya da komut satırında yönetici hesabı ayarlarından wildcard değerinin devre dışı bırakılmasıyla yapılabiliyor. Bu seçeneği hiç kullanmayan kurulumlar bildirime göre etkilenmiyor. Yine de yapılandırmalar zaman içinde farklı yöneticiler tarafından değiştirilebildiği için, ayarın gerçekten kapalı olduğunun her cihazda tek tek doğrulanması önem taşıyor.

Ne yapılmalı?

• Tüm FortiWeb cihazlarında uzak yönetici hesaplarını listeleyin ve wildcard seçeneğinin açık olup olmadığını kontrol edin.
• Açıksa hemen kapatın ve cihazı ilgili hattın düzeltilmiş sürümüne yükseltin.
• FortiWeb yönetim arayüzüne erişimi güvenilir yönetim ağlarıyla sınırlayın.
• Yönetici giriş kayıtlarında tanımadığınız kullanıcı adlarıyla yapılmış başarılı oturumları arayın.