Fortinet SQL injection: уязвимости в FortiAnalyzer и FortiManager раскрыты в FG-IR-26-178
13 октября 2026 года Fortinet выпустила advisory FG-IR-26-178 с описанием нескольких уязвимостей SQL injection в продуктах FortiAnalyzer и FortiManager.
13 октября 2026 года компания Fortinet опубликовала бюллетень безопасности FG-IR-26-178. В документе описаны несколько уязвимостей SQL injection в компонентах FortiAnalyzer, FortiManager и их облачных версиях.
Подробности уязвимостей Fortinet SQL injection
Уязвимости относятся к классу CWE-89 и затрагивают графический интерфейс управления. Аутентифицированный пользователь с низкими привилегиями может выполнить произвольные SQL-команды. Это позволяет добиться выполнения команд на сервере или чтения и записи произвольных файлов через специально сформированные запросы.
В бюллетене перечислены четыре идентификатора CVE: CVE-2025-46773, CVE-2026-23705, CVE-2026-23706 и CVE-2026-23707. Показатели CVSSv3 находятся в диапазоне 5,9–7,9. Fortinet оценивает общий уровень риска как высокий. На момент публикации бюллетеня публичных эксплойтов не зарегистрировано, виртуальные патчи отсутствуют.
Уязвимости обнаружены специалистами Fortinet Jaguar Perlas и David Maciejack. Информация опубликована только в официальном источнике FortiGuard PSIRT без дополнительных подтверждений от независимых исследователей на момент 20 октября 2026 года.
Затронутые версии и способы устранения
Под угрозой находятся версии FortiAnalyzer 7.6.0–7.6.4, 7.4.0–7.4.7 и все выпуски 7.2. Аналогичные диапазоны указаны для FortiManager: 7.6.0–7.6.4, 7.4.0–7.4.6 и все версии 7.2. Соответствующие облачные сервисы FortiAnalyzer Cloud и FortiManager Cloud также перечислены в матрице. Большинство сборок 8.0 не затронуты.
Рекомендуемые исправления — обновление до FortiAnalyzer 7.6.5 и выше, 7.4.8 и выше либо миграция с ветки 7.2. Для FortiManager исправления доступны в версиях 7.6.5, 7.4.7 и новее. Облачные экземпляры получают обновления по аналогичному графику.
Организациям, использующим перечисленные продукты, следует проверить текущие версии и запланировать обновления в ближайшее время. Fortinet не сообщила о дополнительных мерах компенсации на момент публикации бюллетеня.
Контекст и дальнейшие действия
FortiAnalyzer и FortiManager применяются для централизованного сбора логов, анализа угроз и управления политиками безопасности. Уязвимости в этих компонентах могут повлиять на инфраструктуру мониторинга и управления в крупных организациях.
По состоянию на 20 октября 2026 года в открытых источниках отсутствуют сообщения об эксплуатации этих уязвимостей в России или целенаправленных кампаниях. Fortinet продолжает публиковать обновления через портал FortiGuard PSIRT. Администраторам рекомендуется отслеживать новые версии бюллетеня и применять исправления согласно официальной матрице.
Частые вопросы
Какие продукты затронуты уязвимостями FG-IR-26-178?
Уязвимости затрагивают FortiAnalyzer и FortiManager версий 7.2–7.6.4, а также соответствующие облачные сервисы. Полный перечень версий приведен в бюллетене Fortinet.
Как исправить уязвимости Fortinet SQL injection?
Необходимо обновить FortiAnalyzer до версии 7.6.5 или 7.4.8 и выше, FortiManager — до 7.6.5 или 7.4.7 и выше. Альтернатива — миграция с ветки 7.2.
Есть ли публичные эксплойты для CVE из FG-IR-26-178?
На момент публикации бюллетеня 13 октября 2026 года публичных эксплойтов не зафиксировано. Fortinet не сообщила о случаях эксплуатации в реальных условиях.
Нужно ли обновлять FortiAnalyzer Cloud и FortiManager Cloud?
Да, облачные версии также перечислены в матрице уязвимостей и требуют обновления до исправленных сборок, указанных в advisory FG-IR-26-178.
Комментарии 1