FortiAnalyzer és FortiManager: az OFTP-porton keresztüli SQL-injekció hitelesítés nélküli kódfuttatást tesz lehetővé (CVE-2026-126262)

Mi történt

A CVE-2026-126262 SQL-injekciós sérülékenység a FortiAnalyzerben és a FortiManagerben. Az OFTP-portot elérő, hitelesítést nem igénylő támadó speciálisan kialakított OFTP-csomagokat küldhet, és kódot vagy parancsokat futtathat a rendszeren. Ehhez sem hitelesítő adatokra, sem felhasználói beavatkozásra nincs szükség. A CVSS v3.1 szerinti pontszám 9,3 (kritikus), magas hatással a bizalmasságra, a sértetlenségre és a rendelkezésre állásra.

A Fortinet biztonsági közleményt adott ki; a CVE-rekordban nem szerepel javított verzió. A rekord nem utal aktív kihasználásra vagy nyilvános közzétételre.

Kit érint

Az érintett kiadások a következők: FortiAnalyzer 8.0.0–8.0.1, 7.6.0–7.6.7, 7.4.0–7.4.11 és 7.2.0–7.2.12; FortiManager 8.0.0, 7.6.0–7.6.7, 7.4.0–7.4.11 és 7.2.0–7.2.12. A kitettség feltétele az OFTP-port elérhetősége.

Mit kell most tenni

1. Korlátozza az OFTP-port elérését úgy, hogy az érintett FortiAnalyzer- és FortiManager-rendszereket csak megbízható eszközök érhessék el.
2. Helyezze ezeket a rendszereket külön felügyeleti hálózati szegmensbe, amelybe nem megbízható hálózatokból nem érkezhet bejövő forgalom.
3. Figyelje az OFTP-kapcsolódási kísérleteket és a naplókat, és keressen váratlan vagy ismeretlen forrásokat.
4. Kísérje figyelemmel a Fortinet biztonsági közleményét, hogy elérhetővé válik-e javított verzió; javított verzió vagy gyártói kerülő megoldás egyelőre nem szerepel.

Hogyan észlelhető

A CVE-rekord a CVE-2026-126262 kapcsán nem tüntet fel kompromittálódásra utaló jeleket. Az észlelést a kitettséggel érdemes kezdeni: vezessen nyilvántartást az OFTP-port elérésére jogosult gazdagépekről, és állítson be riasztást minden más forrásból érkező kapcsolódási kísérletre.

A javításon túl

Egy hitelesítés nélkül, hálózatból elérhető injekciós hiba pontosan az a fajta kitettség, amelyet már azelőtt észlelni kellene, hogy egy biztonsági közlemény megnevezné. A Virtuális CISO szolgáltatás (vCISO) külső rálátást ad a kitett felügyeleti portokra, például az OFTP-portra, a Bevezetési és felmérési szolgáltatások pedig injekciós hibákat tesztelhet, és megerősítheti a Fortinet-telepítéseket. Azoknál a szervezeteknél, amelyek sok gyártói eszközt üzemeltetnek, az Ellátási lánc védelem és harmadik felekkel kapcsolatos kockázatok nyomon követi a beszállítók javítási ciklusait és az általuk okozott kitettségi időszakot.