FortiManager'da iş akışı onay sürecinin atlatılmasına yol açan açık: 7.2 hattı için yama yok

Fortinet'in 8 Eylül 2026 bülteninde yer alan FG-IR-26-171, merkezi yönetim platformu FortiManager'ın iş akışı (workflow) özelliğindeki bir erişim denetimi hatasını konu alıyor. CVE-2026-22575 kimliğiyle izlenen açık, CVSSv3'te 4.9 puan alarak "orta" önem derecesinde sınıflandırıldı.

Onay mekanizması neden önemli?

FortiManager'ın iş akışı modu, güvenlik duvarı politikalarında yapılan değişikliklerin uygulanmadan önce ayrı bir onaycı tarafından incelenmesini sağlıyor. Birçok kurum bu özelliği, değişiklik yönetimi süreçlerinin ve denetim gereksinimlerinin teknik dayanağı olarak kullanıyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Bildirime göre uygunsuz erişim denetimi (CWE-284) nedeniyle, sistemde yönetici yetkisine sahip bir kullanıcı özel hazırlanmış HTTP veya HTTPS istekleriyle iş akışı oturumlarının onay sürecini atlayabiliyor. Başka bir deyişle, dört göz ilkesine dayanan kontrol bu açıkla işlevsiz kalabiliyor. Açık kimlik doğrulama ve yüksek yetki gerektirdiği için puanı düşük; ancak kurum içi tehdit ve ele geçirilmiş yönetici hesabı senaryolarında anlamlı bir risk oluşturuyor.

Açığı Martin Cechvala sorumlu ifşa yoluyla bildirdi; Fortinet istismar edildiğine dair bilgi olmadığını belirtiyor.

Sürüm durumu

• FortiManager 8.0: etkilenmiyor.
• FortiManager 7.6: 7.6.0–7.6.4 → 7.6.5 veya üstü.
• FortiManager 7.4: 7.4.0–7.4.10 → 7.4.11 veya üstü.
• FortiManager 7.2: tüm sürümler etkileniyor → düzeltilmiş bir hatta geçiş.
• FortiManager Cloud: 7.6.2–7.6.4 için 7.6.5; 7.4.1–7.4.10 için bildirimde "yakında" olarak geçen 7.4.11; 7.2 için geçiş.

Bildirimde geçici çözüm yer almıyor.

Ne yapılmalı?

• FortiManager'ı 7.6.5 veya 7.4.11 ya da daha yeni bir sürüme yükseltin; 7.2 hattından çıkış planlayın.
• Yükseltme tamamlanana kadar onaysız uygulanmış politika değişikliklerini denetim kayıtlarından düzenli olarak kontrol edin.
• Yönetici hesaplarını en az yetki ilkesine göre yeniden gözden geçirin.
• Değişiklik onayını yalnızca FortiManager'a bırakmayın; ek bir değişiklik kayıt süreciyle çapraz kontrol uygulayın.