Kerngegevens
- Leverancier
- Fortinet
- Soort software
- firewall
- Getroffen versies
- FortiAnalyzer 7.6.0 t/m 7.6.4, 7.4.0 t/m 7.4.7, 7.2 alle versies
- FortiManager 7.6.0 t/m 7.6.4, 7.4.0 t/m 7.4.6, 7.2 alle versies
- Oplossing
- Update beschikbaar
- Opgeloste versie
- FortiAnalyzer 7.6.5
- FortiAnalyzer 7.4.8
- FortiManager 7.6.5
- FortiManager 7.4.7
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 23 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Fortinet FortiAnalyzer en FortiManager zit een SQL-injectiefout. Het product controleert bepaalde invoer niet goed voordat die in een databaseopdracht terechtkomt. Een aanvaller kan daardoor met speciaal opgestelde verzoeken eigen opdrachten laten uitvoeren. De ernst is hoog (7,2).
Wie loopt risico?
Je loopt risico als je FortiAnalyzer of FortiManager gebruikt in een van de getroffen versies en een aanvaller het systeem via het netwerk kan bereiken. Voor misbruik is een ingelogd account nodig. Volgens de beschrijving gaat het om een gebruiker met beperkte rechten, maar in de CVSS-vector staan hoge rechten als vereiste. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt of dat er een openbare exploit is.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van FortiAnalyzer en FortiManager je gebruikt. Getroffen zijn FortiAnalyzer 7.6.0 t/m 7.6.4, 7.4.0 t/m 7.4.7 en alle versies van 7.2. Bij FortiManager gaat het om 7.6.0 t/m 7.6.4, 7.4.0 t/m 7.4.6 en alle versies van 7.2. Versie 8.0 is niet getroffen.
Werk bij naar een opgeloste versie
Update FortiAnalyzer naar 7.6.5 of 7.4.8 of nieuwer, en FortiManager naar 7.6.5 of 7.4.7 of nieuwer. Voor 7.2 komt geen update: stap over naar een versie met de oplossing. Zie advies FG-IR-26-178.
Eén update voor vier lekken
Fortinet lost in hetzelfde advies vier SQL-injectielekken op: CVE-2025-46773, CVE-2026-23705, CVE-2026-23706 en CVE-2026-23707. Met dezelfde update dicht je ze allemaal.
Beperk de toegang tot het beheer
Zorg dat de beheerinterface van deze systemen niet vanaf internet bereikbaar is. Laat alleen vertrouwde netwerken en beheerders toe.
Controleer accounts en rechten
Kijk na welke gebruikers toegang hebben tot FortiAnalyzer en FortiManager. Verwijder accounts die niet meer nodig zijn en gebruik sterke wachtwoorden.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een onjuiste neutralisatie van speciale elementen in een SQL-opdracht (SQL-injectie, CWE-89). Via speciaal opgestelde verzoeken kan een aanvaller zelf gekozen opdrachten laten uitvoeren. De aanval verloopt via het netwerk, is niet complex en heeft geen interactie van een gebruiker nodig. De CVSS-vector (CVSS 3.1) vermeldt hoge rechten als vereiste, terwijl de beschrijving spreekt over een gebruiker met beperkte rechten. Bij misbruik is de impact op vertrouwelijkheid, integriteit en beschikbaarheid hoog. De score van 7,2 komt van de CNA.
CVSS-vector (versie 3.1, basisscore 7,2, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-89 · SQL-injectie (onjuiste neutralisatie van speciale tekens in een SQL-opdracht)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,3%
- Aanvalscode openbaar
- Nee