FortiWeb WAF politikalarını atlatmaya imkân veren açık: 7.4 ve öncesi için yama yok

Fortinet'in 12 Ağustos 2026 bülteninde FortiWeb için yayımlanan ikinci bildirim, doğrudan web uygulama güvenlik duvarının koruma işlevini ilgilendiriyor. FG-IR-26-157 numaralı bildirimde yer alan CVE-2026-70466, Content-Encoding başlığıyla ilişkili bir WAF atlatma sorunu olarak tanımlanıyor.

Açık ne yapıyor?

Fortinet'e göre sorun, izin verilmeyen girdilerin eksik listelenmesinden (CWE-184) kaynaklanıyor. Kimliği doğrulanmamış bir saldırgan, özel hazırlanmış isteklerle FortiWeb'de tanımlı politikaları atlatabiliyor. Bu da korunması amaçlanan uygulamalara, WAF'ın normalde engelleyeceği isteklerin ulaşabilmesi anlamına geliyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Açık CVSSv3'te 5.3 temel ve 4.8 zamansal puan aldı. Puanın görece düşük olması, doğrudan cihazın ele geçirilmesine yol açmamasından kaynaklanıyor; ancak gerçek risk, WAF'ın arkasındaki uygulamaların kendi açıklarına bağlı. Açığı Pekin Posta ve Telekomünikasyon Üniversitesi'nden Rui Xi (@Cycloctane) sorumlu ifşa yoluyla bildirdi. Fortinet istismar edildiğine dair bilgi olmadığını belirtiyor.

Sürüm durumu

• FortiWeb 8.0: 8.0.0–8.0.2 → 8.0.3 veya üstü.
• FortiWeb 7.6: 7.6.0–7.6.5 → 7.6.6 veya üstü.
• FortiWeb 7.4, 7.2 ve 7.0: tüm sürümler etkileniyor; bildirimde bu hatlar için ayrı bir düzeltilmiş sürüm verilmiyor, desteklenen bir hatta geçiş öneriliyor.

Bildirimde geçici çözüm yer almıyor.

Eski hatlar için baskı artıyor

Aynı gün yayımlanan RADIUS kimlik doğrulama açığında 7.4 ve 7.2 için ayrı yamalar sunulmuşken, bu açıkta eski hatların düzeltme almaması dikkat çekiyor. FortiWeb'in 7.4 ve öncesi sürümlerini çalıştıran kurumlar için 7.6 veya 8.0'a geçiş, artık yalnızca yeni özellik değil, koruma etkinliği açısından da bir gereklilik hâline geliyor.

Ne yapılmalı?

• FortiWeb 8.0 ve 7.6 cihazlarını sırasıyla 8.0.3 ve 7.6.6 veya üstüne yükseltin.
• 7.4, 7.2 veya 7.0 kullanıyorsanız 7.6 ya da 8.0'a geçiş için bakım penceresi planlayın.
• Geçiş tamamlanana kadar WAF arkasındaki uygulamaların kendi güvenlik güncellemelerini öne çekin; WAF'ı tek savunma katmanı olarak görmeyin.
• WAF kayıtlarında olağan dışı sıkıştırma başlıkları içeren istekleri izleyin.