[TLP:CLEAR] Fortinet opravuje 27 zranitelností

Fortinet opravuje 27 zranitelností v různých produktech. Nejzávažnější z nich jsou popsány níže. Opravené verze jednotlivých produktů: FortiAnalyzer [1][2]- 7.6.5, 7.4.9 FortiAnalyzer Cloud [1][2][3] - 7.6.5, 7.4.9 FortiClientEMS [4][5] - 7.4.6, 7.2.13 FortiDDoS-F [6] - 7.2.3 FortiManager [1][2] - 7.6.5, 7.4.9 FortiManager Cloud [1][2][3] - 7.6.5, 7.4.9 FortiNAC-F [7] - 7.6.6 FortiNDR [8] - 7.6.1, 7.4.9 FortiOS [9][10] - 7.6.5, 7.4.10 FortiPAM [10] - 1.7.1 FortiProxy [10] - 7.6.5, 7.4.12 FortiSandbox [11][12][13][14][15][16] - 5.0.6, 4.4.9 FortiSandbox Cloud [13] - opraveno v rámci cloudu FortiSandbox PaaS [13][14][15][16] - 5.0.6, 4.4.9 FortiSOAR PaaS - 7.6.5, 7.5.3 [17][18][19][20][21][22] / FortiSOAR File Content Extraction Connector Version 1.3.1 [23] FortiSOAR on-premise - 7.6.5, 7.5.3 [17][18][19][20][21][22] / FortiSOAR File Content Extraction Connector Version 1.3.1 [23] FortiSwitchManager [10] - 7.2.8, 7.0.7 FortiVoice [8] - 7.0.2 FortiWeb [24][25][26] - 8.0.4, 7.6.7

FortiSandbox - privilege escalation (CVE-2026-39813)
CVSS 9.8 (Critical)

Neautentizovanému vzdálenému útočníkovi je zasíláním speciálně vytvořených HTTP požadavků umožněno obejít autentizaci a zvýšit svá oprávnění v systému FortiSandbox [11].

Zranitelnost se nachází v produktu:

  • FortiSandbox; >=4.4.0 , <=4.4.8; >=5.0.0, <=5.0.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 14. 4. 2026.

FortiSandbox - OS command execution (CVE-2026-39808)
CVSS 9.8 (Critical)

Neautentizovanému vzdálenému útočníkovi je zasíláním speciálně vytvořených HTTP požadavků na API endpoint FortiSandbox umožněno spouštět příkazy v rámci operačního systému [27].

Zranitelnost se nachází v produktu:

  • FortiSandbox; >=4.4.0, <=4.4.8;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2026-39808 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 14. 4. 2026.

FortiDDoS-F - command execution (CVE-2026-39815)
CVSS 8.8 (High)

Autentizovanému vzdálenému útočníkovi je zasíláním speciálně vytvořených HTTP požadavků na FortiDDoS-F umožněno spouštět libovolné příkazy [9].

Zranitelnost se nachází v produktu:

  • FortiDDoS-F; >=7.2.1, <=7.2.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2026-39815 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 14. 4. 2026.

FortiAnalyzer Cloud, FortiManager Cloud - command execution, RCE (CVE-2026-22828)
CVSS 8.1 (High)

Neautentizovanému vzdálenému útočníkovi je za určitých podmínek kvůli přetečení zásobníku v démonu oftpd systémů FortiAnalyzer Cloud a FortiManager Cloud umožněno spustit libovolné příkazy či kód. Reálná zneužitelnost zranitelnosti je v praxi výrazně omezena architekturou cloudu [28].

Zranitelnost se nachází v produktech:

  • FortiAnalyzer Cloud; >=7.6.2, <=7.6.4;
  • FortiManager Cloud >=7.6.2, <=7.6.4;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 14. 4. 2026.

Za CESNET, z.s.p.o. Michaela Ručková dne 7. 5. 2026.

CESNET, z.s.p.o. Logo