Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Fortinet opravuje 27 zraniteľností

Fortinet opravuje 27 zraniteľností v rôznych produktoch. Najzávažnejšie z nich sú popísané nižšie. Opravené verzie jednotlivých produktov: FortiAnalyzer [1][2]- 7.6.5, 7.4.9 FortiAnalyzer Cloud [1][2][3] - 7.6.5, 7.4.9 FortiClientEMS [4][5] - 7.4.6, 7.2.13 FortiDDoS-F [6] - 7.2.3 FortiManager [1][2] - 7.6.5, 7.4.9 FortiManager Cloud [1][2][3] - 7.6.5, 7.4.9 FortiNAC-F [7] - 7.6.6 FortiNDR [8] - 7.6.1, 7.4.9 FortiOS [9][10] - 7.6.5, 7.4.10 FortiPAM [10] - 1.7.1 FortiProxy [10] - 7.6.5, 7.4.12 FortiSandbox [11][12][13][14][15][16] - 5.0.6, 4.4.9 FortiSandbox Cloud [13] - opravené v rámci cloudu FortiSandbox PaaS [13][14][15][16] - 5.0.6, 4.4.9 FortiSOAR PaaS - 7.6.5, 7.5.3 [17][18][19][20][21][22] / FortiSOAR File Content Extraction Connector Version 1.3.1 [23] FortiSOAR on-premise - 7.6.5, 7.5.3 [17][18][19][20][21][22] / FortiSOAR File Content Extraction Connector Version 1.3.1 [23] FortiSwitchManager [10] - 7.2.8, 7.0.7 FortiVoice [8] - 7.0.2 FortiWeb [24][25][26] - 8.0.4, 7.6.7

FortiSandbox - eskalácia oprávnení (CVE-2026-39813)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je zasielaním špeciálne vytvorených HTTP požiadaviek umožnené obísť autentizáciu a zvýšiť svoje oprávnenia v systéme FortiSandbox [11].

Zraniteľnosť sa nachádza v produkte:

  • FortiSandbox; >=4.4.0 , <=4.4.8; >=5.0.0, <=5.0.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 14. 4. 2026.

FortiSandbox - spúšťanie príkazov OS (CVE-2026-39808)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je zasielaním špeciálne vytvorených HTTP požiadaviek na API endpoint FortiSandbox umožnené spúšťať príkazy v rámci operačného systému [27].

Zraniteľnosť sa nachádza v produkte:

  • FortiSandbox; >=4.4.0, <=4.4.8;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2026-39808 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 14. 4. 2026.

FortiDDoS-F - spúšťanie príkazov (CVE-2026-39815)
CVSS 8.8 (High)

Autentizovanému vzdialenému útočníkovi je zasielaním špeciálne vytvorených HTTP požiadaviek na FortiDDoS-F umožnené spúšťať ľubovoľné príkazy [9].

Zraniteľnosť sa nachádza v produkte:

  • FortiDDoS-F; >=7.2.1, <=7.2.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2026-39815 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 14. 4. 2026.

FortiAnalyzer Cloud, FortiManager Cloud - spúšťanie príkazov, RCE (CVE-2026-22828)
CVSS 8.1 (High)

Neautentizovanému vzdialenému útočníkovi je za určitých podmienok kvôli pretečeniu zásobníka v démone oftpd systémov FortiAnalyzer Cloud a FortiManager Cloud umožnené spustiť ľubovoľné príkazy či kód. Reálna zneužiteľnosť zraniteľnosti je v praxi výrazne obmedzená architektúrou cloudu [28].

Zraniteľnosť sa nachádza v produktoch:

  • FortiAnalyzer Cloud; >=7.6.2, <=7.6.4;
  • FortiManager Cloud >=7.6.2, <=7.6.4;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 14. 4. 2026.

Za CESNET, z.s.p.o. Michaela Ručková dňa 7. 5. 2026.

CESNET, z.s.p.o. Logo