FortiAuthenticator beégetett jelszava hitelesítés nélkül lehetővé teszi a hitelesítés megkerülését (CVE-2026-126257)

Mi történt

A Fortinet biztonsági közleménye beégetett jelszót ismertet a FortiAuthenticatorban. Egy hitelesítés nélküli támadó, aki a hálózaton keresztül eléri az érintett szolgáltatást, bizonyos, a támadó által nem befolyásolható körülmények között ezzel a jelszóval megkerülheti a hitelesítő adatok ellenőrzését. Ha a megkerülés sikerül, a támadó érvényes hitelesítő adatok nélkül szerez jogosulatlan hozzáférést. A sérülékenység besorolása CWE-259, azaz beégetett jelszó használata.

A CVSS 3.1 szerint a sérülékenység 9,0-s kritikus minősítést kapott. A vektor szerint a támadás hálózaton keresztül indítható, magas a támadási komplexitása, nem igényel jogosultságot vagy felhasználói beavatkozást, és magas hatással van a bizalmasságra, az integritásra és a rendelkezésre állásra, megváltozott hatókör mellett.

A Fortinet nem rögzített aktív kihasználást, a CVE-rekord pedig nem említi exploitkód nyilvános közzétételét.

Kit érint

Az érintett verziók a Fortinet FortiAuthenticator 8.0.0–8.0.3 és 6.6.0–6.6.10 kiadásai. A Fortinet biztonsági közleménye kizárólag ezeket a verziótartományokat nevezi meg. Ha ezen verziók valamelyikét futtatja, a sérülékenység az Ön telepítésére is vonatkozik. Egyik verziótartományhoz sincs javított kiadás feltüntetve.

Mit kell most tenni

1. Azonosítsa a FortiAuthenticator-példányokat, és ellenőrizze, hogy verziójuk a 8.0.0–8.0.3 vagy a 6.6.0–6.6.10 tartományba esik-e.
2. Javított kiadás egyelőre nem szerepel, a Fortinet pedig nem tett közzé kerülő megoldást. Kezelje a hozzáférés korlátozását és a folyamatos figyelést elsődleges megfékezési intézkedésként.
3. Korlátozza az érintett FortiAuthenticator-eszközök hálózati elérhetőségét kizárólag a megbízható felügyeleti és hitelesítő kliensekre. Szüntessen meg minden internet felől elérhető vagy nem megbízható hálózati kitettséget.
4. Vizsgálja át a hitelesítési és adminisztrációs tevékenységeket, keressen váratlan vagy jogosulatlan hozzáférést, és vizsgáljon ki mindent, ami nem köthető a várt felhasználókhoz vagy karbantartási időablakokhoz.
5. Kísérje figyelemmel a Fortinet FG-IR-26-271 biztonsági közleményt, hogy értesüljön a javított verziókról, és amint elérhetők, a szokásos tesztelést követően telepítse azokat.

A javításon túl

Ez egy kritikus, hálózaton keresztül elérhető hitelesítésmegkerülés, amelyhez nincs gyártói javítás vagy kerülő megoldás, így a tényleges kitettség időtartamát Önnek kell kezelnie. Az azonnali prioritás, hogy pontosan tudja, honnan érhetők el az egyes FortiAuthenticator-példányok, és mit védenek — a kitettség felmérésében és a megfékezés megtervezésében segít a Virtuális CISO szolgáltatás (vCISO). Mivel a sikeres kihasználás jogosulatlan hitelesítési vagy adminisztrációs tevékenységet eredményezne, a Menedzselt kiberbiztonsági felügyelet (MDR) figyelemmel kísérheti ezt a nyomot, amíg a Fortinet közzé nem teszi a javítást.