[TLP:CLEAR] Fortinet upozorňuje na aktivně zneužívané zranitelnosti a kompromitaci firewallů a VPN

Fortinet upozorňuje na 3 zranitelnosti v různých produktech [1][2][3] popsané níže. Kritickou zranitelnost (CVE-2026-25089) [1] ve FortiSandbox se podle společnosti Defused zaměřující se na threat intelligence útočníci aktivně snaží zneužít [4]. Mimo to upozorňují bezpečnostní experti na kompromitaci desítek tisíc Fortinet firewallů a VPN bran v rámci kampaně FortiBleed [5][6]. Více informací o kampani včetně odkazu na databázi postižených domén a doporučeného postupu naleznete níže. Nejnovější opravené verze jednotlivých produktů: FortiOS [2] - 8.0.0, 7.6.7, 7.4.12, 7.2.11 [7] FortiPortal [3] - 7.4.11, 7.2.9 [8] FortiProxy [2] - 7.6.6, 7.4.11, 7.2.16 [9] FortiSandbox [1] - 5.2.0, 5.0.6, 4.4.9 [10] Oznámení Defused [4] uvádí také pokusy o zneužití u dvou dříve reportovaných [11] zranitelností ve FortiSandbox [12][13]. Mimo uvedené zranitelnosti chceme upozornit na nedávno odhalenou masivní kompromitaci přihlašovacích údajů k více než 75 000 Fortinet firewallům a VPN branám ve 194 zemích, ke které došlo v rámci útočné kampaně FortiBleed [5]. Podle dostupných informací útočníci kombinovali plošné útoky s hromadným lámáním přihlašovacích hashů. Detailní technické informace ke kampani naleznete na [5][6]. Zkontrolovat, zda se vaše doména nachází na seznamu zasažených, lze na [14]. Následně je důrazně doporučena okamžitá změna veškerých hesel souvisejících s Fortinet VPN a administrátorským rozhraním a aktivace MFA, jelikož úspěšné zneužití útočníkům potenciálně umožňuje plný vzdálený přístup do celé sítě organizace.

FortiSandbox - OS command execution (CVE-2026-25089)
CVSS 9.8 (Critical)

Neautentizovanému vzdálenému útočníkovi je v produktech FortiSandbox (včetně verzí Cloud a PaaS) ve webovém administračním rozhraní zasláním speciálně upravených HTTP požadavků s JSON daty na funkci spuštění VNC (start vnc) umožněno spustit libovolné příkazy na úrovni operačního systému zařízení [1].

Zranitelnost se nachází v produktech:

  • FortiSandbox; >=4.4.0, <4.4.9; >=5.0.0, <5.0.6
  • FortiSandbox Cloud; >=5.0.4, <5.0.6;
  • FortiSandbox PaaS; >=5.0.4, <5.0.6;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2026-25089 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 9. 6. 2026.

FortiOS, FortiProxy - Lua script execution (CVE-2025-67862)
CVSS 6.7 (Medium)

Autentizovanému lokálnímu útočníkovi s rolí správce je v rozhraní příkazové řádky produktů FortiOS a FortiProxy pomocí speciálně upravených příkazů umožněno spustit Lua skripty [2].

Zranitelnost se nachází v produktech:

  • FortiOS; >=7.2.0, <7.2.11; >=7.4.0, <7.4.8; >=7.6.0, <7.6.3;
  • FortiProxy; >=7.2.0, <7.2.15; >=7.4.0, <7.4.11; >=7.6.0, <7.6.4;

CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 9. 6. 2026.

FortiPortal - data disclosure (CVE-2026-49938)
CVSS 6.5 (Medium)

Vzdálenému autentizovanému útočníkovi s rolí běžného uživatele je v produktu FortiPortal prostřednictvím speciálně upravených HTTP požadavků na rozhraní API umožněno získat citlivá data o konfiguraci sítě [3].

Zranitelnost se nachází v produktu:

  • FortiPortal; >=7.0, <=7.0.14; >=7.2.0, <7.2.9; >=7.4.0, <7.4.8;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 9. 6. 2026.

Za CESNET, z.s.p.o. Michaela Ručková dne 17. 6. 2026.

CESNET, z.s.p.o. Logo