Kerngegevens
- Leverancier
- Fortinet
- Soort software
- firewall
- Getroffen versies
- FortiOS 6.4 (alle versies), 7.0.0 tot en met 7.0.17, 7.2.0 tot en met 7.2.11, 7.4.0 tot en met 7.4.8, 7.6.0 tot en met 7.6.3
- FortiSwitchManager 7.0.0 tot en met 7.0.5, 7.2.0 tot en met 7.2.6
- FortiSASE 25.1.39, 25.1.51
- Oplossing
- Update beschikbaar
- Opgeloste versie
- FortiOS 7.0.18
- FortiOS 7.2.12
- FortiOS 7.4.9
- FortiOS 7.6.4
- FortiSwitchManager 7.0.6
- FortiSwitchManager 7.2.7
- CVE gepubliceerd
- 13 januari 2026
- Op de KEV-lijst sinds
- 9 september 2026
- Gepubliceerd op LekkenRadar
- 7 oktober 2026
- Laatst gewijzigd bij NVD
- 7 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Fortinet FortiOS en FortiSwitchManager zit een fout in het geheugenbeheer (een heap-bufferoverloop). Een aanvaller kan met speciaal opgemaakte netwerkpakketten ongeautoriseerde code of opdrachten laten uitvoeren op het apparaat. Het lek wordt actief misbruikt en er is publiek exploitmateriaal beschikbaar. Voor het misbruik is geen inlog nodig en hoeft er niemand iets aan te klikken.
Wie loopt risico?
Je loopt risico als je een firewall of ander apparaat gebruikt met FortiOS 6.4 (alle versies), 7.0.0 tot en met 7.0.17, 7.2.0 tot en met 7.2.11, 7.4.0 tot en met 7.4.8 of 7.6.0 tot en met 7.6.3. Hetzelfde geldt voor FortiSwitchManager 7.0.0 tot en met 7.0.5 en 7.2.0 tot en met 7.2.6. De aanval verloopt via het netwerk, dus apparaten die bereikbaar zijn vanaf internet of vanuit een onvoldoende afgeschermd netwerk lopen het meeste risico.
Wat moet je doen?
Controleer wat je gebruikt
Kijk na welke FortiOS- en FortiSwitchManager-versies in jouw omgeving draaien en vergelijk die met de getroffen versies in dit bericht.
Werk FortiOS bij
Update naar een opgeloste versie: 7.0.18, 7.2.12, 7.4.9 of 7.6.4, afhankelijk van de versielijn die je nu gebruikt.
Werk FortiSwitchManager bij
Update naar 7.0.6 als je op de 7.0-lijn zit, of naar 7.2.7 als je op de 7.2-lijn zit.
Let op bij FortiOS 6.4
Voor FortiOS 6.4 noemen de gegevens geen opgeloste versie. Volg het advies van Fortinet (FG-IR-25-084) en beperk de blootstelling van het apparaat.
Beperk de blootstelling
Zorg dat beheer- en andere diensten van het apparaat niet onnodig vanaf internet bereikbaar zijn, zolang je nog niet kunt bijwerken.
Controleer andere genoemde producten
FortiSASE (25.1.39 en 25.1.51) en de Siemens RUGGEDCOM APE1808 staan ook in de gegevens. Volg voor deze producten het advies van de leverancier.
Let op: FortiOS 7.2 krijgt sinds 30 september 2026 geen updates meer. Stap over naar FortiOS 8.0 of nieuwer. Bekijk bij Producten zonder updates
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een heap-based buffer overflow (CWE-122) in FortiOS en FortiSwitchManager. Door speciaal vervaardigde pakketten te sturen kan een aanvaller buiten de grenzen van een geheugenbuffer op de heap schrijven. Dat kan leiden tot het uitvoeren van ongeautoriseerde code of opdrachten. De CVSS-vector (AV:N/AC:L/PR:N/UI:N) laat zien dat de aanval via het netwerk kan, met lage complexiteit, zonder rechten en zonder gebruikersinteractie. De gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid zijn alle drie hoog. Het lek staat in de CISA-lijst van actief misbruikte kwetsbaarheden.
CVSS-vector (versie 3.1, basisscore 9,8, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-122 · Bufferoverloop op de heap (heap-based buffer overflow)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 3,9%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 9 september 2026
- Deadline van CISA
- 12 september 2026
- Gebruikt door ransomwaregroepen
- Niet bekend