Hledat English

Kritické CVSS 9,8 Aktuálně

Fortinet opravil čtyři kritické chyby: OSPF ve FortiOS, FGFM ve FortiManageru, FortiAnalyzer a FortiAuthenticator

Fortinet v úterý 10. listopadu 2026 zveřejnil nejméně 50 bezpečnostních advisory najednou. Čtyři mají kritickou závažnost: obejití ověření v démonu OSPF ve FortiOS, spuštění kódu bez přihlášení přes protokol FGFM ve FortiManageru, přístup k cizím VDOM ve FortiManageru a FortiAnalyzeru a natvrdo zapsané heslo ve FortiAuthenticatoru. Fortinet o zneužívání neví. Všechny čtyři chyby našel jeho vlastní tým s pomocí AI modelu. Co aktualizovat a v jakém pořadí.

Redakce Kyberkitu · · událost ze dne · čtení na 5 minut · Pro správce a analytiky

Kritické: Fortinet, CVE-2026-126253, CVSS 9,8

Ve zkratce

  • Týká se: správců FortiGate (FortiOS) se zapnutým OSPF, FortiManageru, FortiAnalyzeru (i Cloud verzí), FortiAuthenticatoru a FortiSASE.
  • Nejnebezpečnější pro vystavené servery: CVE-2026-126261 (CVSS 9,8) – útočník bez přihlášení, který dosáhne na port FGFM FortiManageru, může upravenými pakety spustit kód nebo příkazy. FGFM je protokol, kterým se FortiGate hlásí FortiManageru; podobná chyba FortiJump (CVE-2024-47575) se v roce 2024 masově zneužívala.
  • FortiOS: CVE-2026-126253 (CVSS 9,3) – obejití ověření v démonu OSPF, útočník ze sousední sítě bez přihlášení může rozesílat podvržené směrovací záznamy (LSA). FortiAuthenticator: CVE-2026-126257 (CVSS 9,0) – natvrdo zapsané heslo, za určitých okolností přístup bez platných údajů. FortiManager/FortiAnalyzer: CVE-2026-126229 (CVSS 9,1) – přihlášený administrátor se dostane do cizích VDOM.
  • Zneužívání Fortinet nezaznamenal, indikátory ani dočasná opatření nezveřejnil. V NVD je k 11. 11. zatím jen záznam CVE-2026-126261 (základní skóre 9,8), ostatní tři chybí. Řešením je aktualizace podle tabulek níže; FortiAnalyzer a FortiManager 7.2 musí přejít na novější řadu.

Zranitelnosti: CVE-2026-126253, CVE-2026-126261, CVE-2026-126229, CVE-2026-126257

Co se stalo

Fortinet v úterý 10. listopadu 2026 zveřejnil v rámci pravidelného měsíčního vydání oprav nejméně 50 bezpečnostních advisory (tolik jich k tomuto dni uvádí kanál RSS FortiGuard). Většina má vysokou nebo střední závažnost – SQL injection, vkládání příkazů do OS, path traversal a chyby v kontrole oprávnění napříč FortiManagerem, FortiAnalyzerem, FortiOS a dalšími produkty. Čtyři chyby jsou kritické:

CVE Produkt Typ chyby CVSS 3.1 Přihlášení
CVE-2026-126253 FortiOS, FortiSASE obejití ověření v démonu OSPF (CWE-305) 9,3 ne (sousední síť)
CVE-2026-126261 FortiManager chybná autorizace v FGFM, spuštění kódu (CWE-285) 9,8 ne
CVE-2026-126229 FortiManager, FortiAnalyzer (i Cloud) přístup k cizím VDOM (CWE-639) 9,1 ano, administrátor
CVE-2026-126257 FortiAuthenticator natvrdo zapsané heslo (CWE-259) 9,0 ne

Fortinet u všech čtyř uvádí, že o zneužití neví, a nenabízí virtuální záplatu ani dočasné opatření. Všechny našli členové interního týmu Fortinet Product Security s pomocí AI modelu Claude Mythos.

Technické podrobnosti

Údaje jsou z advisory Fortinetu. V NVD je k 11. 11. 2026 zveřejněný jen záznam CVE-2026-126261 (stav „Received“, bez vlastní analýzy NVD), ostatní tři záznamy zatím chybí a technický rozbor nevyšel. Návod ke zneužití nezveřejňujeme.

  • FortiManager FGFM (CVE-2026-126261, CVSS 9,8): FGFM je protokol, kterým se zařízení FortiGate registrují a komunikují s FortiManagerem. Podle advisory FortiManager zvýší oprávnění spojení ještě předtím, než ověří registrační heslo. Útočník bez účtu, který dosáhne na port FGFM, tak může upravenými pakety spustit kód nebo příkazy. Vektor AV:N/AC:L/PR:N/UI:N znamená útok po síti, bez přihlášení a bez účasti oběti. Advisory uvádí skóre 9,0 – to je ale časové (temporal) skóre, které zohledňuje, že exploit není známý a oprava existuje (E:U/RL:O/RC:C); základní skóre, které Fortinet poslal do NVD, je 9,8, a s ním počítejte při určování priority. Stejnou část FortiManageru zasáhla v říjnu 2024 chyba FortiJump (CVE-2024-47575), kterou útočníci zneužívali ke krádeži konfigurací spravovaných zařízení.
  • FortiOS OSPF (CVE-2026-126253, CVSS 9,3): chyba v démonu OSPF (dynamické směrování) umožní útočníkovi bez přihlášení rozesílat podvržené záznamy o stavu linek (LSA). Vektor AV:A/…/S:C/C:N/I:H/A:H říká, že útočník musí být v sousední síti, nemůže číst data, ale může vážně narušit integritu a dostupnost – typicky přesměrovat nebo zahodit provoz podvrženými trasami. Časová metrika E:P znamená, že podle Fortinetu existuje ověření konceptu (proof of concept); veřejné není.
  • FortiManager a FortiAnalyzer dmserver (CVE-2026-126229, CVSS 9,1): přihlášený administrátor se upravenými požadavky HTTP dostane do jiných VDOM, než ke kterým má oprávnění. Nebezpečné je to hlavně u poskytovatelů služeb a velkých firem, které v jednom FortiManageru oddělují zákazníky nebo pobočky.
  • FortiAuthenticator (CVE-2026-126257, CVSS 9,0): natvrdo zapsané heslo umožní útočníkovi bez přihlášení „za určitých okolností“ obejít kontrolu přihlašovacích údajů a získat vyšší oprávnění. Fortinet okolnosti nepopisuje, vyšší složitost útoku (AC:H) naznačuje, že je potřeba splnit další podmínky.
Proč je chyba FGFM ve FortiManageru nebezpečná1. Port FGFM FortiManageru je dostupný z internetu kvůli vzdáleným FortiGate; 2. Útočník bez účtu pošle upravené pakety FGFM; 3. FortiManager zvýší oprávnění spojení dřív, než ověří registrační heslo; 4. Spuštění kódu na FortiManageru – přístup ke konfiguracím všech spravovaných FortiGate1Port FGFM FortiManageru je dostupnýz internetu kvůli vzdáleným FortiGate2Útočník bez účtu pošle upravenépakety FGFM3FortiManager zvýší oprávnění spojenídřív, než ověří registrační heslo4Spuštění kódu na FortiManageru –přístup ke konfiguracím všechspravovaných FortiGate
Možná cesta útočníka na neopravený FortiManager (podle advisory FG-IR-26-275)

Koho se to týká

Produkt Zranitelné Opravené
FortiManager (FGFM) 8.0.0, 7.6.0–7.6.7, 7.4.0–7.4.5, 7.2.0–7.2.8 8.0.1, 7.6.8, 7.4.6, 7.2.9
FortiOS (OSPF) 8.0.0–8.0.1, 7.6.0–7.6.7, 7.4.0–7.4.12, 7.2.0–7.2.13 8.0.2, 7.6.8, 7.4.13, 7.2.14
FortiSASE (OSPF) 25.1–26.2 všechny, 26.3.1 26.3.2 (Fortinet opravil sám)
FortiManager, FortiAnalyzer (VDOM) 8.0.0–8.0.1, 7.6.0–7.6.7, 7.4.0–7.4.11, 7.2 všechny 8.0.2, 7.6.8, 7.4.12; 7.2 → přechod na novější řadu
FortiManager Cloud, FortiAnalyzer Cloud (VDOM) 8.0.1, 7.6.0–7.6.7, 7.4.1–7.4.11, 7.2 všechny 8.0.2, 7.6.8, 7.4.12
FortiAuthenticator 8.0.0–8.0.3, 6.6.0–6.6.10 8.0.4, 6.6.11
  • FortiOS 7.0 a starší řady advisory k OSPF neuvádí. FortiSASE 22.4–24.4 se OSPF chyby netýká.
  • Nejvíc ohrožené jsou FortiManagery s portem FGFM dostupným z internetu – často kvůli pobočkovým FortiGate bez VPN.

Jak poznat napadení

Fortinet indikátory napadení nezveřejnil. Co doporučujeme sledovat (vlastní doporučení, ne pokyn Fortinetu):

  • FortiManager: neznámá zařízení v seznamu spravovaných (i neautorizovaná), spojení FGFM z adres, které nepatří vašim FortiGate, nové účty administrátorů a nečekané exporty konfigurace. Inspirací je postup Fortinetu k chybě FortiJump z roku 2024.
  • FortiOS s OSPF: nové sousedy OSPF, nečekané změny ve směrovací tabulce a záznamy LSA od neznámých routerů (get router info ospf neighbor, get router info ospf database brief).
  • FortiAuthenticator: přihlášení administrátorů z neobvyklých adres a změny v nastavení ověřování.
  • FortiManager/FortiAnalyzer: přístupy administrátorů do VDOM, ke kterým nemají přiřazení (audit log).

Indikátory, které případně zveřejní Fortinet nebo CERT, si ze zprávy vytáhnete v extraktoru IOC. Vektory si přepočítáte v CVSS kalkulačce.

Co udělat

  1. FortiManager s FGFM dostupným ze sítě: aktualizujte co nejdřív (8.0.1, 7.6.8, 7.4.6, 7.2.9). Do aktualizace povolte spojení na port FGFM jen z adres vašich FortiGate.
  2. FortiAuthenticator: aktualizujte na 8.0.4 nebo 6.6.11 a omezte přístup ke správě na vnitřní síť.
  3. FortiOS: aktualizujte na 8.0.2, 7.6.8, 7.4.13 nebo 7.2.14; zařízení se zapnutým OSPF přednostně. Do té doby zapínejte OSPF jen na rozhraních, kde ho potřebujete (ostatní jako pasivní), a nepouštějte ho do segmentů s uživateli nebo hosty.
  4. FortiManager a FortiAnalyzer (VDOM): aktualizujte na 8.0.2, 7.6.8 nebo 7.4.12; řadu 7.2 je potřeba opustit. Zkontrolujte, kdo má administrátorský účet.
  5. Cestu aktualizace si ověřte v nástroji Fortinetu (docs.fortinet.com/upgrade-tool) a projděte i zbylé advisory z 10. 11. pro produkty, které používáte.

Časová osa

Časová osa listopadových oprav Fortinetu v roce 202610. 11. 2026: Fortinet vydává nejméně 50 advisory, z toho 4 kritické; o zneužití neví; 11. 11. 2026: NVD zveřejňuje záznam CVE-2026-126261 (základní CVSS 9,8); ostatní tři záznamy chybí, chyby nejsou v CISA KEV; 8. 12. 2026: Další pravidelné měsíční vydání oprav Fortinetu (druhé úterý)10. 11. 2026Fortinet vydává nejméně 50advisory, z toho 4 kritické;o zneužití neví11. 11. 2026NVD zveřejňuje záznamCVE-2026-126261 (základníCVSS 9,8); ostatní třizáznamy chybí, chyby nejsouv CISA KEV8. 12. 2026Další pravidelné měsíčnívydání oprav Fortinetu (druhéúterý)
Zveřejnění oprav (Fortinet PSIRT)

Aktualizace

  • 11. 11. 2026 (večer) – NVD zveřejnilo záznam CVE-2026-126261: základní skóre CVSS 3.1 od Fortinetu je 9,8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), CWE-285. Hodnota 9,0 v advisory je časové skóre. Upravili jsme tabulku, shrnutí a časovou osu. Záznamy ostatních tří CVE v NVD zatím nejsou; v CISA KEV není žádná z chyb.
  • 11. 11. 2026 – první verze článku.

Časté otázky

Zneužívají se tyto chyby?

Fortinet ve všech čtyřech advisory z 10. 11. 2026 uvádí, že o zneužití neví, a chyby nejsou v katalogu CISA KEV. U Fortinetu ale bývá doba mezi opravou a prvními útoky krátká – zařízení stojí na okraji sítě a útočníci opravy porovnávají. Kritické chyby bez přihlášení proto doporučujeme opravit do několika dnů.

Nepoužíváme OSPF. Musíme kvůli CVE-2026-126253 aktualizovat?

Chyba je v démonu OSPF a vektor CVSS předpokládá útočníka v sousední síti (AV:A). Fortinet podmínky zneužití nepopisuje a výslovně neříká, že bez nakonfigurovaného OSPF je zařízení v bezpečí. FortiOS stejně aktualizujte v nejbližším servisním okně, se zapnutým OSPF přednostně.

Proč Fortinet vydal tolik oprav najednou?

Všechny čtyři kritické chyby podle poděkování v advisory našli členové interního týmu Fortinet Product Security s pomocí AI modelu Claude Mythos. Interní testování s AI zjevně odhalilo víc chyb než obvykle. Pro správce to znamená hlavně víc práce s plánováním aktualizací – žádnou z kritických chyb zatím nikdo nezneužil.

Máme FortiManager Cloud. Musíme něco dělat?

U CVE-2026-126229 (VDOM) jsou zranitelné i FortiManager Cloud a FortiAnalyzer Cloud 7.4.1–7.4.11, 7.6.0–7.6.7 a 8.0.1 a řada 7.2 celá. Ověřte v konzoli, na jaké verzi vaše instance běží, a případně požádejte Fortinet o přechod na opravenou. Chyba FGFM (CVE-2026-126261) je podle advisory jen ve FortiManageru, ne v Cloud verzi.

Zdroje

  1. Fortinet PSIRT – FG-IR-26-275: FGFM elevation before registration password is verified (CVE-2026-126261, 10. 11. 2026)
  2. NVD – CVE-2026-126261 (FortiManager FGFM, CVSS 3.1 9,8 od Fortinetu, CWE-285)
  3. Fortinet PSIRT – FG-IR-26-267: Authentication bypass by primary weakness, FortiOS OSPF (CVE-2026-126253, 10. 11. 2026)
  4. Fortinet PSIRT – FG-IR-26-244: Authorization bypass through user-controlled key in dmserver (CVE-2026-126229, 10. 11. 2026)
  5. Fortinet PSIRT – FG-IR-26-271: Authentication bypass, FortiAuthenticator (CVE-2026-126257, 10. 11. 2026)
  6. Fortinet PSIRT – FG-IR-24-423: chybějící ověření ve fgfmsd, FortiJump (CVE-2024-47575, 2024)
  7. FortiGuard – přehled PSIRT advisory

Našli jste v článku chybu? Dejte nám vědět, opravu vyznačíme.