Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Fortinet opravuje 11 zranitelností v různých produktech

Fortinet opravuje 11 zranitelností v různých produktech. Nejzávažnější z nich jsou uvedeny níže. Součástí oznámení je i zranitelnost CVE-2026-31431 (Copy Fail), o které jsme již v minulosti informovali. Společnost Fortinet aktuálně prověřuje její možný dopad na své produkty, přičemž prozatím nebyla potvrzena v žádném z nich [12]. Jednotlivé produkty a jejich opravené verze: FortiNDR: 7.6.3, 7.4.10 [1] FortiMail: 7.6.4, 7.4.6, 7.2.9 [2] FortiOS: 7.6.4, 7.4.9, 7.2.12 [3] FortiTokenAndroid: 6.4.0 [4] FortiAP: 7.6.3, 7.4.6 [5][10] FortiAP-U: 7.0.6 [10] FortiAP-W2: 7.4.5, 7.2.6 [5][10] FortiSandbox: 5.0.2, 4.4.9 [6] FortiSandbox Cloud: 5.0.6 [6] FortiSandbox PaaS: 5.0.2, 4.4.9 [6] FortiAuthenticator: 8.0.3, 6.6.9, 6.5.7 [7] FortiClientWindows: 7.4.3 [8] FortiAnalyzer: 7.6.5, 7.4.9 [9] FortiManager: 7.6.5, 7.4.9 [9] FortiDeceptor: 6.3.0, 6.2.0, 6.1.0 [11]

FortiSandbox, FortiSandbox Cloud and FortiSandbox PaaS - RCE (CVE-2026-26083)
CVSS 9.8 (Critical)

Neautentizovanému vzdálenému útočníkovi je v produktech FortiSandbox, FortiSandbox Cloud a FortiSandbox PaaS umožněno spouštět libovolné příkazy prostřednictvím speciálně vytvořených HTTP požadavků směřovaných na webové rozhraní [6].

Zranitelnost se nachází v produktech:

  • FortiSandbox; >= 4.4.0, < 4.4.9; >= 5.0.0, < 5.0.2
  • FortiSandbox Cloud; >= 23.0.0; >= 24.0.0; >= 5.0.2, < 5.0.6
  • FortiSandbox PaaS;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C

Více informací:

Zranitelnost byla veřejně oznámena 12. 5. 2026.

FortiAuthenticator - RCE (CVE-2026-44277)
CVSS 9.8 (Critical)

Neautentizovanému vzdálenému útočníkovi je v produktu FortiAuthenticator v důsledku nesprávného řízení přístupu umožněno zasíláním speciálně vytvořených požadavků na koncové body API spustit libovolný kód [7].

Zranitelnost se nachází v produktu:

  • FortiAuthenticator; >= 8.0.0, < 8.0.3; >= 6.6.0, < 6.6.9; >= 6.5.0, < 6.5.7

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C

Více informací:

Zranitelnost byla veřejně oznámena 12. 5. 2026.

FortiOS - RCE (CVE-2025-53844)
CVSS 8.8 (High)

Vzdálenému autentizovanému útočníkovi je v operačním systému FortiOS umožněno získat zvýšená oprávnění a spustit kód na zařízení FortiGate v důsledku zápisu mimo vyhrazenou paměť v procesu zajišťujícím komunikaci prostřednictvím protokolu CAPWAP [3].

Zranitelnost se nachází v produktu:

  • FortiOS; >=7.6.0, <7.6.4; >=7.4.0, <7.4.9; >=7.2.0, <7.2.12

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:P/RL:O/RC:C

Více informací:

Zranitelnost byla veřejně oznámena 12. 5. 2026.

Za CESNET, z.s.p.o. Henrieta Paločková dne 13. 5. 2026.

CESNET, z.s.p.o. Logo