FortiManager ve FortiAnalyzer'da SQL enjeksiyonu: düşük yetkili kullanıcı komut çalıştırabiliyor

Fortinet, merkezi yönetim ve kayıt analizi platformları FortiManager ile FortiAnalyzer'ı etkileyen bir grup SQL enjeksiyonu açığını 13 Ekim 2026'da yamaladı. FG-IR-26-178 numaralı bildirim; CVE-2025-46773, CVE-2026-23705, CVE-2026-23706 ve CVE-2026-23707 kimliklerini birlikte ele alıyor.

Açığın etkisi

Bildirime göre sorun, grafik arayüzdeki SQL komutlarında özel öğelerin yeterince etkisizleştirilmemesinden (CWE-89) kaynaklanıyor. Sisteme düşük yetkili bir hesapla giriş yapabilen bir kullanıcı, hazırlanmış isteklerle rastgele dosya okuyup yazabiliyor ve bu yolla yetkisiz komut çalıştırabiliyor. Açıklar CVSSv3'te 7.9 puan alarak "yüksek" önem derecesinde sınıflandırıldı.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Açıklar Fortinet'in Burnaby Infosec ekibinden Jaguar Perlas ve Ürün Güvenliği ekibinden David Maciejack tarafından şirket içinde bulundu. Fortinet, istismar edildiğine dair bir bilgi bulunmadığını belirtiyor.

Sürüm tablosu

FortiAnalyzer: - 8.0 etkilenmiyor. - 7.6.0–7.6.4 → 7.6.5 veya üstü. - 7.4.0–7.4.7 → 7.4.8 veya üstü. - 7.2 hattının tamamı etkileniyor → düzeltilmiş bir hatta geçiş gerekiyor. - FortiAnalyzer Cloud'da 7.6.2–7.6.4, 7.4.1–7.4.7 ve 7.2.1–7.2.11 aralıkları etkileniyor; çözümler sırasıyla 7.6.5, 7.4.8 ve 7.2.12.

FortiManager: - 8.0 etkilenmiyor. - 7.6.0–7.6.4 → 7.6.5 veya üstü. - 7.4.0–7.4.6 → 7.4.7 veya üstü. - 7.2 hattının tamamı etkileniyor → geçiş gerekiyor. - FortiManager Cloud'da yalnızca 7.6.2–7.6.4 etkileniyor; çözüm 7.6.5.

Bildirimde geçici çözüm veya sanal yama bulunmuyor.

Yönetim düzlemine dikkat

FortiManager ve FortiAnalyzer, yüzlerce güvenlik duvarının yapılandırmasını ve kayıtlarını tek noktada topladığı için bu platformlarda komut çalıştırılabilmesi, ağın geneline yayılabilecek bir risk anlamına geliyor. Açığın kimlik doğrulama gerektirmesi riski azaltsa da çok sayıda düşük yetkili operatör hesabının bulunduğu ortamlarda bu engel kolayca aşılabilir.

Ne yapılmalı?

• FortiManager ve FortiAnalyzer'ı tablodaki düzeltilmiş sürümlere yükseltin.
• 7.2 hattındaki kurulumlar için 7.4 veya 7.6'ya geçiş takvimi çıkarın.
• Kullanılmayan ve düşük yetkili yönetici hesaplarını gözden geçirip kapatın.
• Yönetim arayüzlerinin internetten erişilebilir olmadığını doğrulayın.