FortiOS ve FortiProxy ajansız ZTNA portalında sertifika doğrulama açığı: ortadaki adam riski

Fortinet, 8 Eylül 2026'daki aylık güvenlik yayınında FortiOS ve FortiProxy'nin ajansız (agentless) ZTNA portalını etkileyen yüksek önem dereceli bir açığı duyurdu. FG-IR-26-174 numaralı bildirimde yer alan CVE-2026-84393, CVSSv3'te 8.1 temel puan aldı.

Sorun nerede?

Ajansız ZTNA portalı, kullanıcıların cihazlarına istemci kurmadan iç uygulamalara tarayıcı üzerinden erişmesini sağlıyor. Bildirime göre portal, arka uçtaki hedef web sitesiyle kurduğu bağlantıda sertifikayı gerektiği gibi doğrulamıyor (CWE-295). Bu durumda uzaktaki ve kimliği doğrulanmamış bir saldırgan, portal ile hedef sunucu arasındaki kanala ortadaki adam (MitM) saldırısı düzenleyebiliyor. Fortinet etkiyi "bilgi ifşası" olarak sınıflandırıyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Açık, Fortinet Sistem Mühendisliği ekibinden John Headley tarafından şirket içinde bulundu. Fortinet, açığın istismar edildiğine dair bilgi olmadığını belirtiyor.

Etkilenen sürümler

• FortiOS 7.6: 7.6.1–7.6.6 etkileniyor → 7.6.7 veya üstü.
• FortiProxy 7.6: 7.6.2–7.6.6 etkileniyor → 7.6.7 veya üstü.
• FortiOS ve FortiProxy'nin 8.0, 7.4 ve 7.2 hatları etkilenmiyor.

Bildirimde geçici çözüm yer almıyor; Fortinet, yükseltme yolunun resmî yükseltme aracıyla planlanmasını öneriyor.

Neden dikkate alınmalı?

Sıfır güven (zero trust) mimarileri, iç kaynaklara erişimi daha güvenli hâle getirmek için tercih ediliyor. Ancak erişim aracısının arka uç bağlantısını doğrulamaması, kullanıcıyla portal arasındaki bağlantı güvenli olsa bile trafiğin ikinci yarısını savunmasız bırakabiliyor. Özellikle arka uç uygulamalarının farklı ağ bölümlerinde veya bulut ortamlarında bulunduğu yapılarda risk artıyor.

Ne yapılmalı?

• Ajansız ZTNA portalını kullanan FortiOS ve FortiProxy 7.6 cihazlarını 7.6.7 veya üstüne yükseltin.
• Portal ile arka uç uygulamaları arasındaki ağ yolunun güvenilir ve bölümlenmiş olduğundan emin olun.
• Arka uç sunucularında geçerli ve güvenilir sertifikalar kullanıldığını doğrulayın.
• Yükseltme sonrası ZTNA erişim kurallarını ve kayıtlarını gözden geçirin.