"Fortinet Kasım PSIRT: 46 bildirim, 8 kritik açık; FortiOS'ta OSPF authentication bypass (CVE-2026-126253), FortiManager'da FGFM açığı (CVE-2026-126261)"
Fortinet, 22 Ekim hardening sürümlerinde sessizce kapattığı açıkların ayrıntılarını 10 Kasım'da 46 PSIRT bildirimiyle yayımladı. Sekizi kritik; kimlik doğrulama gerektirmeyenler FortiOS'un OSPF ve HA bileşenlerinde, FortiManager/FortiAnalyzer'ın FGFM, OFTP ve JSON API arayüzlerinde. Hiçbiri için istismar bildirilmedi.
CVE-2026-126253, CVE-2026-126261, CVE-2026-126229
Fortinet, 22 Ekim'de "security hardening" adıyla yayımladığı sürümlerin kapattığı açıkların ayrıntılarını 10 Kasım'da FortiGuard PSIRT portalında açıkladı. Aynı gün yayımlanan bildirim sayısı 46. Bunların 8'i kritik, biri orta, kalanı yüksek önem derecesinde. Bildirimlerin büyük kısmı FortiManager ve FortiAnalyzer'ı ilgilendiriyor; FortiOS, FortiSASE, FortiProxy, FortiPAM ve FortiSandbox için de kayıt var. FG-IR-26-267, -275, -244 ve -219 bildirimlerinde açığın Fortinet ürün güvenliği ekibi tarafından Claude Mythos modeli kullanılarak bulunduğu yazıyor.
İstismar durumu: İncelediğimiz bildirimlerin hiçbirinde "Known Exploited" alanı evet değil; Fortinet saldırılarda kullanım bildirmedi ve 11 Kasım sabahı itibarıyla bu CVE'lerin hiçbiri CISA KEV kataloğunda değil. Yine de birkaç kritik bildirimde CVSS temporal vektörü proof-of-concept (E:P) ya da çalışan exploit (E:F) gösteriyor. Ayrıntılar artık kamuya açık olduğundan patch'ten exploit üretme süresi kısalır; 22 Ekim sürümlerine geçmemiş cihazlar şimdi risk altında.
Kritik bildirimler
- FG-IR-26-267 / CVE-2026-126253 (CVSS 9.3), FortiOS ve FortiSASE: OSPF daemon'unda authentication bypass. Kimliği doğrulanmamış bir saldırgan, hazırlanmış bir istekle OSPF LSA yayımlayabiliyor. Virtual patch yok.
- FG-IR-26-275 / CVE-2026-126261 (CVSS 9.0), FortiManager: FGFM bileşeninde kayıt parolası doğrulanmadan yetki yükseltme. FGFM portuna erişebilen kimliği doğrulanmamış saldırgan, hazırlanmış FGFM paketleriyle kod ya da komut çalıştırabiliyor.
- FG-IR-26-244 / CVE-2026-126229 (CVSS 9.1), FortiManager ve FortiAnalyzer (Cloud dahil): dmserver'da authorization bypass. Kimliği doğrulanmış bir yönetici hazırlanmış HTTP istekleriyle başka VDOM'lara erişebiliyor. 7.2 hattında düzeltme yok, desteklenen hatta geçiş gerekiyor.
- FG-IR-26-273 / CVE-2026-126259 (CVSS 9.0), FortiOS: HA paketleri gönderebilen kimliği doğrulanmamış saldırgan super admin olarak komut çalıştırabiliyor. Yalnızca FGSP ile standalone-config-sync ya da autoscale kullanan yapılar etkileniyor. FortiGuard virtual patch'i (FG-VD-61445.0day) var.
- FG-IR-26-219 / CVE-2026-126170 (CVSS 9.8), FortiManager ve FortiAnalyzer: JSON-RPC API'de JSON injection, kimlik doğrulama gerektirmiyor. JSON API etkin değilse açık yok; varsayılan olarak kapalı.
- FG-IR-26-276 / CVE-2026-126262 (CVSS 9.3) ve FG-IR-26-274 / CVE-2026-126260 (CVSS 9.0), FortiAnalyzer ve FortiAnalyzer özelliklerini kullanan FortiManager: OFTP portuna erişebilen kimliği doğrulanmamış saldırgan için SQL injection ve pre-auth SSRF.
- FG-IR-26-268 / CVE-2026-126254 (CVSS 9.6), FortiOS ve FortiSASE: BGP daemon'unda numeric truncation. Saldırganın yapılandırılmış bir iBGP komşusu olması gerekiyor; bozuk öznitelikler bağlı tüm router'lara yayılabiliyor.
Yüksek önem derecesindeki bildirimler arasında FortiOS'u ilgilendirenler: SSL-VPN web portalında sertifika doğrulama hatası (FG-IR-26-193 / CVE-2026-121528), WAD proxy'de stack overflow (FG-IR-26-272 / CVE-2026-126258), kernel'de out-of-bounds okuma (FG-IR-26-270 / CVE-2026-126256) ve yalnızca GCP'de OS Login etkinse geçerli sshd açığı (FG-IR-26-269 / CVE-2026-126255). FortiOS 7.6'da RADIUS tabanlı 2FA'da access control hatası (FG-IR-26-195, orta) da var. FortiManager ve FortiAnalyzer tarafındaki yüksek bildirimlerin çoğu yönetici yetkisi gerektiren code injection, path traversal ve heap overflow açıkları. FortiManager'daki sabit pre-shared key (FG-IR-26-226 / CVE-2026-126181) ve RADIUS sertifika doğrulama hatası (FG-IR-26-247) bunların dışında kalıyor. FortiSandbox için de bir XSS bildirimi (FG-IR-26-142) yayımlandı.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| FortiOS 8.0 | 8.0.0 – 8.0.1 | 8.0.2 |
| FortiOS 7.6 | 7.6.0 – 7.6.7 | 7.6.8 |
| FortiOS 7.4 | 7.4.0 – 7.4.12 | 7.4.13 (kernel açığı CVE-2026-126256 için 7.4'te düzeltme yok, desteklenen hatta geçiş) |
| FortiOS 7.2 | 7.2.0 – 7.2.13 | 7.2.14 (kernel açığı CVE-2026-126256 için 7.2'de düzeltme yok, desteklenen hatta geçiş) |
| FortiManager / FortiAnalyzer 8.0 | 8.0.0 – 8.0.2 | 8.0.2; CVE-2026-126170 için 8.0.3 (henüz yayımlanmadı) ya da workaround |
| FortiManager / FortiAnalyzer 7.6 | 7.6.0 – 7.6.7 | 7.6.8 |
| FortiManager / FortiAnalyzer 7.4 | 7.4.0 – 7.4.11 | 7.4.12 |
| FortiManager / FortiAnalyzer 7.2 | 7.2.0 – 7.2.12 | 7.2.13; CVE-2026-126229 için 7.2'de düzeltme yok, desteklenen hatta geçiş |
| FortiManager / FortiAnalyzer Cloud | Bildirime göre değişiyor | Üretici bildirimindeki liste |
| FortiSASE | 25.1 – 26.2 tüm sürümler, 26.3.1 | 26.3.2 (Fortinet tarafından uygulandı, müşteri işlemi gerekmiyor); eski hatlar için düzeltilmiş sürüme geçiş |
| FortiSandbox 5.0 / 4.4 | 5.0.0 – 5.0.5 / 4.4.0 – 4.4.8 | 5.0.6 / 4.4.9 |
Tablo, incelediğimiz kritik ve FortiOS bildirimlerinin üst sınırlarını birleştirir. Bazı bildirimler daha dar aralıkları etkiliyor. Örneğin FGFM açığı CVE-2026-126261, FortiManager 7.4'te 7.4.6 ve 7.2'de 7.2.9 ile kapanıyor. Her FG-IR için kesin aralık bildirim sayfasında; Fortinet yükseltme yolu için docs.fortinet.com/upgrade-tool adresini öneriyor.
Beni etkiliyor mu?
FortiGate, FortiManager ve FortiAnalyzer'da sürümü salt okunur olarak görmek için:
get system statusFortiGate'te etkilenen özelliklerin açık olup olmadığını salt okunur kontrol etmek için:
get router info ospf neighbor
get router info bgp summary
get system ha status
show system standalone-cluster
show system auto-scaleOSPF ya da BGP komşuluğu görünüyorsa CVE-2026-126253 ve CVE-2026-126254 sizi ilgilendirir. FGSP ile standalone-config-sync ya da autoscale yapılandırılmışsa CVE-2026-126259'a karşı açıksınız. FortiManager ve FortiAnalyzer'da JSON API'nin hangi admin profillerinde açık olduğunu görmek için:
show system admin profileProfillerde rpc-permit değeri none dışında bir değerse CVE-2026-126170 ve CVE-2026-126182/126183 için risk vardır.
Ne yapılmalı?
- FortiOS'u 8.0.2, 7.6.8, 7.4.13 ya da 7.2.14'e; FortiManager ve FortiAnalyzer'ı 8.0.2, 7.6.8, 7.4.12 ya da 7.2.13'e yükseltin. 7.2 hattındaki FortiManager/FortiAnalyzer ve 7.4/7.2 hattındaki FortiOS cihazlarda düzeltmesi olmayan açıklar için desteklenen hatta geçişi planlayın.
- Kimlik doğrulama gerektirmeyen açıklar için FGFM ve OFTP portlarını yalnızca yönetilen cihazların ve güvendiğiniz ağların erişebileceği şekilde sınırlayın. FortiManager ve FortiAnalyzer'ın yönetim ve log arayüzleri internete açık olmamalı.
- Hemen yükseltilemeyen FortiManager/FortiAnalyzer 8.0 sistemlerinde Fortinet'in CVE-2026-126170 için önerdiği geçici önlem, admin profillerinde JSON API erişimini kapatmak. Bu değişikliği komutla değil, change kaydı açarak ve bildirimdeki adımlarla uygulayın.
- FGSP veya autoscale kullanan FortiGate'lerde IPS ve virtual patch imzalarının (FG-VD-61445.0day) güncel olduğunu doğrulayın; HA trafiğinin yalnızca ayrılmış arayüzlerde aktığından emin olun.
- OSPF ve BGP komşuluklarında beklenmeyen LSA ya da rota değişikliklerini, FortiManager'da tanımadığınız cihaz kayıtlarını ve VDOM'lar arası yönetici erişimlerini log'larda izleyin.
- Yükseltme sırasını change management sürecinde planlayın: önce FortiManager/FortiAnalyzer, sonra FortiGate. Merkezi yönetim sürümü, yönetilen cihazların sürümünden düşük kalmamalı.
Kaynaklar
- FortiGuard PSIRT — FG-IR-26-267 Authentication bypass by primary weakness
- FortiGuard PSIRT — FG-IR-26-275 FGFM elevation before registration password is verified
- FortiGuard PSIRT — FG-IR-26-244 Authorization bypass through user-controlled key in dmserver
- FortiGuard PSIRT — FG-IR-26-273 Unauthenticated adjacent command execution via HA
- FortiGuard PSIRT — FG-IR-26-219 JSON Injection in JRPC API
- FortiGuard PSIRT — bildirim listesi
- Daily CyberSecurity — Fortinet Patches Eight Critical Flaws in FortiOS, FortiManager and FortiAnalyzer
