Kerngegevens
- Leverancier
- Fortinet
- Soort software
- firewall
- Getroffen versies
- FortiOS 7.6.0 t/m 7.6.4, 7.4.0 t/m 7.4.9, alle versies 7.2, 7.0 en 6.4
- FortiProxy 7.6.0 t/m 7.6.4, 7.4.0 t/m 7.4.11, alle versies 7.2 en 7.0
- FortiSwitchManager 7.2.0 t/m 7.2.7, 7.0.0 t/m 7.0.6
- FortiPAM 1.7.0, alle versies 1.0 t/m 1.6
- Oplossing
- Update beschikbaar
- Opgeloste versie
- FortiOS 7.6.5
- FortiOS 7.4.10
- FortiProxy 7.6.5
- FortiProxy 7.4.12
- FortiSwitchManager 7.2.8
- FortiSwitchManager 7.0.7
- FortiPAM 1.7.1
- CVE gepubliceerd
- 14 april 2026
- Op de KEV-lijst sinds
- 16 oktober 2026
- Gepubliceerd op LekkenRadar
- 16 oktober 2026
- Laatst gewijzigd bij NVD
- 16 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In meerdere Fortinet-producten zit een fout waarbij een pad naar een map onvoldoende wordt beperkt (path traversal). Een ingelogde aanvaller met een beheerdersprofiel en minstens lees- en schrijfrechten kan via bepaalde CLI-opdrachten willekeurige bestanden schrijven of verwijderen. Het lek staat sinds oktober 2026 op de lijst van actief misbruikte lekken en is onlangs aan die lijst toegevoegd. De ernst is middel, met een score van 6,0.
Wie loopt risico?
Je loopt risico als je FortiOS, FortiProxy, FortiSwitchManager of FortiPAM gebruikt in een van de getroffen versies. Een aanvaller moet al toegang hebben met een beheerdersprofiel met lees- en schrijfrechten, en de aanval verloopt lokaal. Daardoor is vooral van belang hoe goed beheeraccounts en de beheertoegang zijn beschermd. Bij FortiOS 7.2, 7.0 en 6.4 en bij oudere FortiPAM-versies gaat het volgens de gegevens om alle versies.
Wat moet je doen?
Controleer je versies
Kijk na of je FortiOS, FortiProxy, FortiSwitchManager of FortiPAM draait en welke versie. Let op: bij FortiOS 7.2, 7.0 en 6.4, FortiProxy 7.2 en 7.0 en FortiPAM 1.0 t/m 1.6 zijn alle versies getroffen en komt er geen oplossing binnen die reeks.
Werk bij
FortiOS naar 7.6.5 of 7.4.10, FortiProxy naar 7.6.5 of 7.4.12, FortiSwitchManager naar 7.2.8 of 7.0.7, FortiPAM naar 1.7.1. Zit je op een reeks zonder oplossing, stap dan over naar een opgeloste reeks. De upgrade-tool van Fortinet helpt bij het bepalen van het upgradepad.
Beperk beheertoegang
De aanvaller heeft een beheeraccount met lees- en schrijfrechten nodig. Zorg dat alleen vertrouwde beheerders, vanaf vertrouwde netwerken, bij de beheeromgeving en de CLI kunnen. Zet beheerinterfaces niet open naar internet.
Controleer beheeraccounts
Verwijder beheeraccounts die niet nodig zijn, gebruik sterke wachtwoorden en schakel meervoudige verificatie in. Omdat het lek wordt misbruikt, is het ook verstandig na te gaan of er onbekende beheeraccounts zijn aangemaakt.
Zoek naar sporen van misbruik
Bekijk logboeken op ongebruikelijke CLI-opdrachten en onverwacht gewijzigde of verwijderde bestanden. Fortinet meldt in advies FG-IR-26-122 zelf dat het lek wordt misbruikt.
Let op: FortiOS 7.2 krijgt sinds 30 september 2026 geen updates meer. Stap over naar FortiOS 8.0 of nieuwer. Bekijk bij Producten zonder updates
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een path traversal-fout (CWE-22): een pad naar een map wordt onvoldoende beperkt tot de bedoelde map. Via specifieke CLI-opdrachten kan een geauthenticeerde aanvaller met een admin-profiel en minstens lees- en schrijfrechten willekeurige bestanden schrijven of verwijderen. De CVSS-vector (3.1) geeft een lokale aanvalsroute, lage complexiteit, hoge benodigde rechten en geen gebruikersinteractie. De impact op vertrouwelijkheid is geen, op integriteit en beschikbaarheid hoog. Er is geen openbaar exploit bekend in de gegevens en er is geen koppeling met ransomware vermeld.
CVSS-vector (versie 3.1, basisscore 6,0, bron: CNA)
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H- Zwakheid (CWE)
- CWE-22 · Onvoldoende beperking van een pad tot een afgeschermde map (path traversal)
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,6%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 16 oktober 2026
- Deadline van CISA
- 19 oktober 2026
- Gebruikt door ransomwaregroepen
- Niet bekend