Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Fortinet opravuje aktívne zneužívanú zraniteľnosť

Fortinet opravuje kritickú, aktívne zneužívanú zraniteľnosť v rôznych produktoch [1][2]. Produkty a ich opravené verzie: FortiAnalyzer - 7.6.6, 7.4.10, 7.2.12, 7.0.16 FortiManager - 7.6.6, 7.4.10, 7.2.13, 7.0.16 FortiOS - 7.6.6, 7.4.11, 7.2.13, 7.0.19 FortiProxy - 7.6.6, 7.4.13 FortiWeb - 8.0.4, 7.6.7, 7.4.12

FortiAnalyzer, FortiManager, FortiOS, FortiProxy, FortiWeb - obídenie autentizácie (CVE-2026-24858)
CVSS 9.8 (Critical)

Vzdialenému útočníkovi autentizovanému vo FortiCloud SSO s registrovaným zariadením je umožnené obísť autentizáciu a prihlásiť sa do administrácie iných zariadení (FortiOS, FortiManager, FortiAnalyzer, FortiProxy, FortiWeb) registrovaných pod inými FortiCloud účtami, ak je na cieľových zariadeniach povolené administrátorské prihlásenie pomocou FortiCloud SSO. Funkcia prihlásenia cez FortiCloud SSO nie je v predvolenom nastavení zapnutá, ale pri registrácii zariadenia do FortiCare v GUI sa automaticky povolí, ak administrátor nevypne voľbu „Allow administrative login using FortiCloud SSO“ [1].

Zraniteľnosť sa nachádza v produktoch:

  • FortiAnalyzer; >=7.6.0, <=7.6.5; >=7.4.0, <=7.4.9; >=7.2.0, <=7.2.11; >=7.0.0, <=7.0.15
  • FortiManager; >=7.6.0, <=7.6.5; >=7.4.0, <=7.4.9; >=7.2.0, <=7.2.11; >=7.0.0, <=7.0.15
  • FortiOS; >=7.6.0, <=7.6.5; >=7.4.0, <=7.4.10; >=7.2.0, <=7.2.12; >=7.0.0, <=7.0.18
  • FortiProxy; >=7.6.0, <=7.6.4; >=7.4.0, <=7.4.12; =7.2; =7.0
  • FortiWeb; >=8.0.0, <=8.0.3; >=7.6.0, <=7.6.6; >=7.4.0, <=7.4.11

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:H/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 27. 1. 2026.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 29. 1. 2026.

CESNET, z.s.p.o. Logo