FortiManager ve FortiAnalyzer'da 23 yüksek bildirim: kimliksiz HA bozma (CVE-2026-126184), 7.2'de düzeltmesi olmayanlar
Fortinet'in 10 Kasım paketindeki FortiManager ve FortiAnalyzer bildirimlerinin 23'ü yüksek önemde ve 28 CVE içeriyor. Biri kimlik doğrulama gerektirmiyor; çoğu yönetici hesabıyla kod çalıştırma ya da yetki yükseltme. Üç bildirim için 7.2 hattında düzeltme yok. İstismar bildirilmedi.
CVE-2026-126184, CVE-2026-126180, CVE-2026-126175
Fortinet'in 10 Kasım PSIRT paketini kritik açıklar odağıyla yazarken FortiManager ve FortiAnalyzer'daki yüksek önemli bildirimleri tek cümleyle geçmiştik. Bu haberde o 23 bildirimi tek tek açıyoruz. Toplam 28 CVE var; CVSS puanları 7.1 ile 8.8 arasında.
Yalnızca biri kimlik doğrulama gerektirmiyor, geri kalanı oturum açmış bir kullanıcı ya da yönetici istiyor. 23 bildirimin hepsinde "Known Exploited" alanı "No"; açıklar CISA KEV kataloğunda değil ve hiçbiri için virtual patch yok. Merkezi yönetim sunucusu ele geçirildiğinde yönetilen tüm firewall'lar risk altına girdiği için bu açıklar "yönetici yetkisi gerekiyor" diye ertelenmemeli.
Öne çıkan bildirimler
- FG-IR-26-229 / CVE-2026-126184 (8.2), kimlik doğrulama gerektirmiyor: fortilogd bileşeninde spoofing ile authentication bypass. Saldırgan HA durumunu bozabiliyor.
- FG-IR-26-225 / CVE-2026-126180 (8.4), FortiManager: düşük yetkili bir Device Manager yöneticisi, template injection ile yönetilen FortiGate'lerde super admin yetkisi alabiliyor. 7.2 hattında düzeltme yok.
- FG-IR-26-221 / CVE-2026-126175 (8.8): JSON-RPC istekleriyle SQL injection, kod ya da komut çalıştırma. 8.0 etkilenmiyor; 7.2 hattında düzeltme yok.
- FG-IR-26-228 / CVE-2026-126183 (8.7), FortiManager: GUI'de authorization bypass; oturum açmış saldırgan kapsamı dışında komut çalıştırabiliyor. JSON API etkinse geçerli (varsayılan kapalı).
- FG-IR-26-234 / CVE-2026-126214 – 126217 (8.7): yönetici, yetkisini yükseltebiliyor ya da iç servisleri taklit edebiliyor.
- FG-IR-26-235 / CVE-2026-126218 (8.2), FortiManager: yönetici yetkisinden root'a yükselme.
- FG-IR-26-190 / CVE-2025-61625 (7.3): profili yalnızca okuma yetkisi olan kullanıcı JSON API üzerinden dosya yazıp silebiliyor.
- FG-IR-26-249 / CVE-2026-126234 (7.2): kısıtlı yetkili kullanıcı için server-side template injection; yalnızca 8.0.0 etkileniyor.
Kalan 15 bildirim (FG-IR-26-220, -223, -224, -227, -230, -231, -232, -233, -236, -237, -239, -241, -246, -250, -251; CVSS 7.1–7.2) yönetici yetkisiyle kod ya da komut çalıştırmaya, dosya yazmaya ya da SQL sorgusu çalıştırmaya yol açan OS command injection, code injection, path traversal, heap overflow ve format string açıkları.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| FortiManager / FortiAnalyzer 8.0 | 8.0.0 – 8.0.1 | 8.0.2 |
| FortiManager / FortiAnalyzer 7.6 | 7.6.0 – 7.6.7 | 7.6.8 |
| FortiManager / FortiAnalyzer 7.4 | 7.4.0 – 7.4.11 | 7.4.12 |
| FortiManager / FortiAnalyzer 7.2 | 7.2.0 – 7.2.12 | 7.2.13; CVE-2026-126180, CVE-2026-126175 ve CVE-2026-126231 için 7.2'de düzeltme yok, desteklenen hatta geçiş |
| FortiManager / FortiAnalyzer 7.0 | Tüm sürümler (CVE-2026-126171) | Düzeltme yok, desteklenen hatta geçiş |
| FortiManager Cloud / FortiAnalyzer Cloud | Bildirime göre değişiyor | Üretici bildirimindeki liste |
Tablo üst sınırları birleştirir. İki not: FG-IR-26-239 (CVE-2026-126224) bildiriminde 7.6.8, 7.4.12 ve 7.2.13 "upcoming" olarak geçiyor; FG-IR-26-233'te de FortiAnalyzer 7.4.12 ve 7.2.13 için aynı ifade var. Diğer bildirimler bu sürümleri çıkmış olarak listeliyor. Yükseltmeden önce sürümün indirme portalında bulunduğunu doğrulayın. Bazı açıklar daha eski sürümlerde kapanmıştı (CVE-2025-61625: 7.6.5, 7.4.8, 7.2.12).
Beni etkiliyor mu?
Sürümü ve JSON API'nin hangi admin profillerinde açık olduğunu salt okunur olarak görebilirsiniz:
get system status
show system admin profile
get system haSürüm tablodaki düzeltilmiş sürümden eskiyse etkileniyorsunuz. Profillerde rpc-permit değeri none dışındaysa JSON API üzerinden istismar edilebilen bildirimler (FG-IR-26-228, -227, -251, -220) sizin için geçerli. HA yapılandırılmışsa CVE-2026-126184 ayrıca önemli.
Ne yapılmalı?
- FortiManager ve FortiAnalyzer'ı 8.0.2, 7.6.8 ya da 7.4.12'ye yükseltin. 7.2 hattında kalanlar 7.2.13 ile açıkların çoğunu kapatır ama üç bildirim açık kalır; desteklenen bir hatta geçişi planlayın.
- Yönetim arayüzünü ve log portlarını yalnızca yönetim ağına ve yönetilen cihazlara açık tutun. Kimlik doğrulama gerektirmeyen HA açığı için HA trafiğini izole bir segmentte taşıyın.
- Fortinet, JSON API'ye bağlı bildirimlerde geçici önlem olarak admin profillerinde JSON API erişiminin kapatılmasını öneriyor. Bu değişikliği bildirimdeki adımlarla ve change kaydı açarak uygulayın; API kullanan otomasyonlar etkilenir.
- Yönetici hesaplarını gözden geçirin: kullanılmayan hesapları kapatın, Device Manager gibi kısıtlı profillerin kimlere verildiğini kontrol edin, MFA zorunlu olsun.
- Yönetilen FortiGate'lerde beklenmedik yönetici hesabı ve yapılandırma değişikliklerini, FortiManager'da olağan dışı script ve template çalıştırmalarını log'lardan izleyin.
Kaynaklar
- FortiGuard PSIRT — FG-IR-26-229 Authentication bypass by spoofing
- FortiGuard PSIRT — FG-IR-26-225 Template injection, managed FortiGates
- FortiGuard PSIRT — FG-IR-26-221 SQL injection via JSON-RPC
- FortiGuard PSIRT — FG-IR-26-228 Authorization bypass in GUI
- FortiGuard PSIRT — FG-IR-26-234 Incorrect authorization
- FortiGuard PSIRT — FG-IR-26-190 Arbitrary file write and delete in JSON API
- FortiGuard PSIRT — bildirim listesi
