FortiOS 8.0.0 ve 7.6 hattında HTTPS yönetim arayüzünü kilitleyen DoS açığı

Fortinet, FortiGate güvenlik duvarlarının işletim sistemi FortiOS'ta yönetim arayüzünü hedef alan bir hizmet reddi (DoS) açığını 13 Ekim 2026'da duyurdu. FG-IR-26-181 numaralı bildirimle yayımlanan CVE-2026-106174, CVSSv3'te 6.7 puanla "orta" önem derecesinde sınıflandırıldı.

Açığın detayı

Sorun, hatalı kilitleme (CWE-667) olarak tanımlanıyor. Ağ erişimi olan ve kimliği doğrulanmamış bir saldırgan, özel hazırlanmış HTTP istekleriyle FortiOS'un HTTPS yönetim arayüzünü hizmet veremez hâle getirebiliyor. Bildirimde etkinin yönetim arayüzüyle sınırlı olduğu belirtiliyor; trafik iletimine ilişkin bir etki tanımlanmıyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Açık, Fortinet InfoSec ekibinden Addy Varma tarafından şirket içinde bulundu; Oded Weissman ile clxhzg ve Tu Longfeng de sorumlu ifşa kapsamında bildirimde bulundu. Fortinet açığın istismar edildiğine dair bir bilgi olmadığını ifade ediyor.

Etkilenen sürümler

• FortiOS 8.0: 8.0.0 etkileniyor → 8.0.1 veya üstüne yükseltme.
• FortiOS 7.6: 7.6.4–7.6.6 etkileniyor → 7.6.7 veya üstüne yükseltme.
• FortiOS 7.4 ve 7.2: etkilenmiyor.

Dikkat çekici nokta, 7.6 hattında yalnızca 7.6.4 ve sonrasının etkilenmesi; yani sorun bu hatta görece yeni eklenen bir kod değişikliğiyle ortaya çıkmış görünüyor.

Sanal yama seçeneği

Fortinet, hemen yükseltme yapamayan kurumlar için FG-VD-61291.0day adlı bir sanal yama imzası sunuyor. İmza, FMWP veritabanının 26.073 güncellemesiyle dağıtılıyor. Fortinet ayrıca yükseltme yolunun belirlenmesi için resmî yükseltme aracının kullanılmasını öneriyor. Yönetim arayüzüne erişilemediği bir anda yaşanacak bir arıza ya da acil yapılandırma ihtiyacı, kesintinin etkisini büyütebileceğinden açık düşük puanına rağmen göz ardı edilmemeli.

Ne yapılmalı?

• FortiOS 8.0.0 ve 7.6.4–7.6.6 çalıştıran cihazları sırasıyla 8.0.1 ve 7.6.7 veya üstüne yükseltin.
• Yükseltme gecikecekse FMWP 26.073 güncellemesini ve ilgili sanal yamayı devreye alın.
• HTTPS yönetim erişimini internete kapatın; yalnızca güvenilir yönetim ağlarına ve tanımlı trusted host adreslerine izin verin.
• Yönetim arayüzü yanıt vermediğinde alarm üretecek izleme kuralları tanımlayın.