Kerngegevens
- Leverancier
- Fortinet
- Soort software
- firewall
- Getroffen versies
- FortiAnalyzer 7.6.0 t/m 7.6.4, 7.4.0 t/m 7.4.7, 7.2 alle versies
- FortiAnalyzer Cloud 7.6.2 t/m 7.6.4, 7.4.1 t/m 7.4.7, 7.2.1 t/m 7.2.11
- FortiManager 7.6.0 t/m 7.6.4, 7.4.0 t/m 7.4.6, 7.2 alle versies
- FortiManager Cloud 7.6.2 t/m 7.6.4
- Oplossing
- Update beschikbaar
- Opgeloste versie
- FortiAnalyzer 7.6.5
- FortiAnalyzer 7.4.8
- FortiAnalyzer Cloud 7.6.5
- FortiAnalyzer Cloud 7.4.8
- FortiAnalyzer Cloud 7.2.12
- FortiManager 7.6.5
- FortiManager 7.4.7
- FortiManager Cloud 7.6.5
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 13 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In FortiAnalyzer en FortiManager van Fortinet zit een SQL-injectiefout. Een aanvaller kan met speciaal opgestelde verzoeken eigen opdrachten laten uitvoeren op het systeem. De ernst is hoog (CVSS-score 7,2).
Wie loopt risico?
Risico lopen organisaties die een van de getroffen versies van FortiAnalyzer, FortiAnalyzer Cloud, FortiManager of FortiManager Cloud gebruiken. Voor misbruik is een ingelogd account nodig. Volgens de beschrijving gaat het om een gebruiker met beperkte rechten, maar in de CVSS-vector staan hoge rechten als vereiste. De aanval verloopt via het netwerk. Is het beheerpaneel bereikbaar vanaf internet of een groot intern netwerk, dan is de kans op misbruik groter.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van FortiAnalyzer of FortiManager je gebruikt en of die in de lijst met getroffen versies staat. Versie 7.2 (niet-cloud) is in zijn geheel getroffen; versie 8.0 niet.
Werk bij naar een opgeloste versie
Update FortiAnalyzer naar 7.6.5 of 7.4.8 of nieuwer en FortiManager naar 7.6.5 of 7.4.7 of nieuwer. FortiAnalyzer Cloud 7.2 krijgt 7.2.12 en FortiManager Cloud 7.6.5. Voor FortiAnalyzer en FortiManager 7.2 komt geen update: stap over naar een versie met de oplossing. Zie advies FG-IR-26-178.
Eén update voor vier lekken
Fortinet lost in hetzelfde advies vier SQL-injectielekken op: CVE-2025-46773, CVE-2026-23705, CVE-2026-23706 en CVE-2026-23707. Met dezelfde update dicht je ze allemaal.
Beperk de toegang
Zorg dat alleen vertrouwde beheerders en systemen bij het beheerpaneel kunnen. Stel het niet bloot aan internet.
Controleer accounts
Beperk het aantal gebruikersaccounts en verwijder accounts die niet nodig zijn, zodat er minder mogelijkheden zijn om de fout te misbruiken.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een onjuiste neutralisatie van speciale tekens in een SQL-opdracht (CWE-89). Invoer uit verzoeken wordt niet goed gefilterd voordat die in een SQL-query terechtkomt. Hierdoor kan een aanvaller via speciaal opgestelde verzoeken willekeurige opdrachten uitvoeren. De aanvalsroute is het netwerk. Het CVSS-vectorstring (CVSS 3.1) geeft een grote impact op vertrouwelijkheid, integriteit en beschikbaarheid aan. Er is geen publiek exploit bekend in de gegevens.
CVSS-vector (versie 3.1, basisscore 7,2, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-89 · SQL-injectie (onjuiste neutralisatie van speciale tekens in een SQL-opdracht)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,3%
- Aanvalscode openbaar
- Nee