Kerngegevens
- Leverancier
- Fortinet
- Product
- FortiOS
- Soort software
- firewall
- Getroffen versies
- FortiOS 8.0 8.0.0
- FortiOS 7.6 7.6.4 t/m 7.6.6
- Oplossing
- Update beschikbaar
- Opgeloste versie
- FortiOS 8.0 8.0.1 of hoger
- FortiOS 7.6 7.6.7 of hoger
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 27 oktober 2026
- Laatst gewijzigd bij NVD
- 27 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In FortiOS zit een fout in de manier waarop het systeem bepaalde processen vergrendelt (improper locking). Een aanvaller kan daardoor met speciaal opgestelde HTTP-verzoeken de HTTPS-beheerinterface van het apparaat laten vastlopen. Dat is een denial-of-service: de beheerpagina is dan niet meer bruikbaar. De aanvaller hoeft hiervoor niet in te loggen.
Wie loopt risico?
Je loopt risico als je FortiOS 8.0.0 of een versie van 7.6.4 tot en met 7.6.6 gebruikt en de HTTPS-beheerinterface bereikbaar is voor de aanvaller. Vooral als die interface vanaf internet of vanuit een groot, minder vertrouwd netwerk bereikbaar is, is de kans op misbruik groter. Het lek geeft geen toegang tot gegevens: het verkeer door de firewall loopt door, maar beheer via de webinterface lukt dan niet meer. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt.
Wat moet je doen?
Controleer je FortiOS-versie
Kijk na of je firewall draait op FortiOS 8.0.0 of op een versie van 7.6.4 tot en met 7.6.6.
Werk FortiOS bij
Fortinet loste dit lek op in FortiOS 8.0.1 en 7.6.7 (advies FG-IR-26-181, 13 oktober 2026). Werk bij voorkeur direct bij naar 8.0.2 of 7.6.8: dat zijn de versies uit de hardening-release van 22 oktober, met nog meer kritieke en hoge fixes.
Beperk toegang tot de beheerinterface
Zorg dat de HTTPS-beheerinterface niet vanaf internet bereikbaar is. Sta toegang alleen toe vanaf een beheernetwerk of vanaf vertrouwde adressen (trusted hosts).
Gebruik de virtuele patch als je niet direct kunt bijwerken
Fortinet biedt voor dit lek een virtuele patch via FortiGuard (FG-VD-61291). Die kan het misbruik tegenhouden tot je hebt bijgewerkt.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek betreft onjuiste vergrendeling (CWE-667) in FortiOS. Door speciaal samengestelde HTTP-verzoeken naar de HTTPS-beheerinterface kan een niet-geauthenticeerde aanvaller met netwerktoegang een toestand veroorzaken waarin de beheerinterface niet meer reageert. De CVSS-vector (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H) wijst op aanval via het netwerk, lage complexiteit, geen rechten en geen gebruikersinteractie. Alleen de beschikbaarheid wordt geraakt; vertrouwelijkheid en integriteit niet. De score van 7,5 is afkomstig van de CNA. Getroffen zijn FortiOS 8.0.0 en 7.6.4 tot en met 7.6.6.
CVSS-vector (versie 3.1, basisscore 7,5, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Zwakheid (CWE)
- CWE-667 · Onjuiste vergrendeling (improper locking)
- Aanvalsroute
- Via het netwerk of internet
- Aanvalscode openbaar
- Nee