FortiManager і FortiAnalyzer: SQL-ін'єкція з CVSS 7.9, що оновити

Коротко

Fortinet опублікувала бюлетень FG-IR-26-178 про SQL-ін'єкцію (SQL injection) у FortiManager і FortiAnalyzer з оцінкою CVSS 7.9. Користувач із низькими правами може надсилати спеціально сформовані запити й виконувати довільні команди на платформі. Випадків використання вразливості на момент публікації не зафіксовано, проте оновлення краще виконати сьогодні.

Кого стосується

Бюлетень датований 13 жовтня 2026 року й описує чотири CVE: CVE-2025-46773, CVE-2026-23705, CVE-2026-23706 та CVE-2026-23707. Проблема стосується компаній, які використовують FortiManager для централізованого керування мережевим обладнанням Fortinet або FortiAnalyzer для збору журналів, зокрема їхні хмарні варіанти.

Вразливі версії

FortiManager: 7.6.0–7.6.4 (виправлення в 7.6.5 і новіших) та 7.4.0–7.4.6 (виправлення в 7.4.7 і новіших). FortiAnalyzer: 7.6.0–7.6.4 (до 7.6.5 і новіших) та 7.4.0–7.4.7 (до 7.4.8 і новіших). Для гілки 7.2 обох продуктів уражені всі версії, і виробник радить мігрувати на виправлений реліз.

FortiAnalyzer Cloud: 7.6.2–7.6.4 (до 7.6.5), 7.4.1–7.4.7 (до 7.4.8) та 7.2.1–7.2.11 (до 7.2.12). FortiManager Cloud: лише 7.6.2–7.6.4, оновлення до 7.6.5 або новішої.

Кого це не зачіпає

Версія 8.0 і FortiManager, і FortiAnalyzer не уражена, так само як FortiManager Cloud 8.0, 7.4 і 7.2. Якщо цих продуктів у вас немає, зокрема якщо мережею керують напряму на самих пристроях, цей бюлетень вас не стосується.

Що це означає для бізнесу

FortiManager зазвичай зберігає конфігурацію міжмережевих екранів і правил VPN для всіх офісів, а FortiAnalyzer накопичує журнали подій. Якщо через такий вузол хтось виконає сторонні команди, під ризиком опиняється і саме керування мережею, і дані про те, що в ній відбувається.

Є й заспокійливі обставини. Для експлуатації потрібна автентифікація, тобто зловмисникові спершу треба мати обліковий запис, нехай і з обмеженими правами. Ознак активних атак бюлетень не містить. Водночас тимчасового віртуального виправлення (virtual patch) немає, тож єдиний повноцінний захист: оновлення.

Що зробити

1. Складіть список усіх екземплярів FortiManager і FortiAnalyzer, включно з віртуальними машинами та хмарними версіями (сьогодні). Перевірка: у списку для кожного вказано місце розгортання й відповідальну особу.
2. Звірте поточну версію кожного екземпляра з таблицею з бюлетеня (сьогодні). Перевірка: проти кожного запису стоїть позначка «уражений», «не уражений» або «потрібна міграція».
3. Закрийте доступ до інтерфейсу керування з загальної мережі й інтернету (сьогодні): залиште його лише для адміністративного сегмента або захищеного доступу через VPN. Перевірка: зі звичайного офісного комп'ютера та ззовні адреса керування не відкривається.
4. Збережіть резервну копію конфігурації окремо від платформи й оновіть уражені екземпляри до виправлених версій (сьогодні). Перевірка: копія зберігається на іншому носії, після оновлення версія не нижча за вказану в бюлетені, а підключені пристрої показують нормальний стан.
5. Перегляньте облікові записи на платформі (цього тижня). Перевірка: кожен обліковий запис має власника, непотрібні та старі підрядницькі акаунти вимкнені.
6. Для гілки 7.2 складіть план міграції на виправлений реліз із датою й відповідальним (цього тижня). Перевірка: план затверджений, вікно робіт погоджене з керівниками підрозділів.

Оновлення платформи керування зазвичай не зупиняє трафік через сам міжмережевий екран, але керування ним на час перезавантаження буде недоступне. Тому вікно краще обрати поза піком роботи й заздалегідь попередити тих, хто користується звітами.

Якщо немає свого адміністратора

Такі перевірки легко відкласти, коли мережею опікується одна людина за сумісництвом або зовнішній підрядник, що виходить на зв'язок раз на місяць. Регулярний огляд версій і моніторинг із базовою кібербезпекою допомагають не пропускати подібні бюлетені.

Якщо у вашій компанії немає людини, яка стежить за версіями й доступами до мережевого обладнання, ці перевірки й оновлення можна передати команді TakeIT.

Висновок

Бюлетень не повідомляє про активні атаки, тож у вас є невеликий запас часу. Найкраще витратити його на одне запитання: які екземпляри FortiManager і FortiAnalyzer у нас є і якої вони версії. Відповідь на нього майже повністю визначає, що робити далі.