Kerngegevens
- Leverancier
- Fortinet
- Soort software
- firewall
- Getroffen versies
- FortiAnalyzer 7.6.0 tot en met 7.6.4
- FortiAnalyzer 7.4.0 tot en met 7.4.7
- FortiAnalyzer 7.2, alle versies
- FortiAnalyzer Cloud 7.6.2 tot en met 7.6.4
- FortiAnalyzer Cloud 7.4.1 tot en met 7.4.7
- FortiAnalyzer Cloud 7.2.1 tot en met 7.2.11
- Oplossing
- Update beschikbaar
- Opgeloste versie
- FortiAnalyzer 7.6.5
- FortiAnalyzer 7.4.8
- FortiAnalyzer Cloud 7.6.5
- FortiAnalyzer Cloud 7.4.8
- FortiAnalyzer Cloud 7.2.12
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Fortinet FortiAnalyzer zit een SQL-injectiefout. Een gebruiker met beperkte rechten kan met speciaal opgestelde verzoeken zelf opdrachten laten uitvoeren op het systeem. Daardoor kan iemand met een gewoon account meer doen dan de bedoeling is.
Wie loopt risico?
Je loopt risico als je een van de getroffen versies van FortiAnalyzer of FortiAnalyzer Cloud gebruikt. De aanvaller moet wel al kunnen inloggen met een account met beperkte rechten en het systeem via het netwerk kunnen bereiken. Volgens de gegevens staat het lek niet op de lijst van actief misbruikte lekken.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van FortiAnalyzer of FortiAnalyzer Cloud je gebruikt. Getroffen zijn 7.6.0 tot en met 7.6.4, 7.4.0 tot en met 7.4.7 en alle versies van 7.2. Bij FortiAnalyzer Cloud gaat het om 7.6.2 tot en met 7.6.4, 7.4.1 tot en met 7.4.7 en 7.2.1 tot en met 7.2.11. Versie 8.0 is niet getroffen.
Werk FortiAnalyzer bij
Update naar 7.6.5 of 7.4.8 of nieuwer. FortiAnalyzer Cloud 7.2 krijgt 7.2.12. Voor FortiAnalyzer 7.2 (niet-cloud) komt geen update: stap over naar een versie met de oplossing. Zie advies FG-IR-26-178.
Eén update voor vier lekken
Fortinet lost in hetzelfde advies vier SQL-injectielekken op: CVE-2025-46773, CVE-2026-23705, CVE-2026-23706 en CVE-2026-23707. Met dezelfde update dicht je ze allemaal.
Beperk de toegang
Zorg dat alleen vertrouwde beheerders en systemen bij FortiAnalyzer kunnen. Houd de beheerinterface uit het openbare internet.
Controleer accounts
Kijk na welke gebruikers een account hebben en verwijder accounts die niet meer nodig zijn. De fout is te misbruiken met een account met beperkte rechten.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een onjuiste neutralisatie van speciale elementen in een SQL-opdracht (SQL-injectie, CWE-89). Via speciaal opgestelde verzoeken kan een geauthenticeerde gebruiker met beperkte rechten de SQL-query beïnvloeden en zo willekeurige opdrachten laten uitvoeren. De aanvalsroute is het netwerk. De kwetsbaarheid heeft CVSS-score 8,8 (versie 3.1) met vector AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Er is geen gebruikersinteractie nodig en de gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid zijn alle drie hoog.
CVSS-vector (versie 3.1, basisscore 8,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-89 · SQL-injectie (onjuiste neutralisatie van speciale elementen in een SQL-opdracht)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,3%
- Aanvalscode openbaar
- Nee