Node.js vydal opravy deseti chyb pro verze 22.x, 24.x a 26.x, z nichž nejzávažnější je zápis mimo meze v dekodéru Brotli umožňující vzdálené spuštění kódu. Další chyby se týkají například ověřování názvů hostitelů v TLS nebo ořezávání DNS dotazů a dopady zkoumá také společnost Fortinet.
Fortinet vydal koordinovanou sadu bezpečnostních aktualizací pro systémy FortiOS, FortiManager a FortiAnalyzer po dřívějších vydáních pro FortiMail a FortiAuthenticator. Podle zdroje opravy řeší zranitelnosti zjištěné pomocí AI testování a výrobce naléhavě doporučuje prioritní nasazení kvůli riziku rychlé tvorby exploitů s pomocí AI.
Kanadské kybernetické centrum upozorňuje na zranitelnosti v produktech Fortinet, mezi něž patří FortiAnalyzer, FortiAuthenticator, FortiMail, FortiManager a FortiOS v různých verzích. Správcům doporučuje seznámit se s podrobnostmi a nasadit potřebné aktualizace.
Nizozemské NCSC informuje o vyřešení zranitelností ve Fortinet FortiSIEM verze 7.5.0. První chyba typu path traversal umožňuje neautentizovanému útočníkovi vzdáleně spouštět kód či příkazy pomocí upravených paketů. Druhá zranitelnost spočívá v chybějící autorizační kontrole v GUI a umožňuje přihlášenému útočníkovi obcházet oprávnění a spouštět neautorizované příkazy.
Agentura CISA přidala do katalogu aktivně zneužívaných zranitelností chybu CVE-2025-61624 typu 'path traversal', která se týká více produktů značky Fortinet. Termín pro provedení nápravných opatření stanovila na 19. října 2026.
Zranitelnost CVE-2026-107656 ve webovém rozhraní Fortinet FortiSandbox umožňuje vzdálenému neautentizovanému útočníkovi obejít autentizaci pomocí upravených HTTP požadavků. Zatímco NCSC-FI uvádí oficiální opravu a závažnost CVSS 9,6, ZDI chybu hodnotí skóre CVSS 7,3.
Ve Fortinet FortiSandbox byla odhalena zranitelnost CVE-2026-106170 s hodnocením CVSS 4.9, která umožňuje vzdáleným útočníkům vyvolat stav odepření služby (DoS). Podle zdroje vyžaduje zneužití této chyby autentizaci.
NCSC-NL informuje, že Fortinet opravil bezpečnostní chyby ve FortiSandbox. Kritická zranitelnost CVE-2026-107656 s CVSS 9,6 umožňuje neautentizovanému útočníkovi obejít ověření přes webové rozhraní a spouštět kód či příkazy. Další dvě středně závažné chyby CVE-2026-106172 a CVE-2026-106170 se týkají pevně zakódovaného klíče v rozhraní Fabric API a neošetřené výjimky způsobující trvalé narušení GUI a CLI.
Společnost Fortinet vydala bezpečnostní aktualizace pro produkty FortiSIEM, FortiMail, FortiSandbox, FortiAnalyzer a FortiManager, které opravují chyby včetně dvou kritických a dvou s vysokou závažností. Vzdálený útočník by mohl tyto zranitelnosti zneužít ke spuštění neautorizovaného kódu či příkazů, obcházení autentizace, eskalaci privilegií a čtení i zápisu libovolných souborů.
Podle finského NCSC obsahuje webmailové rozhraní FortiMail zranitelnost typu SQL injection identifikovanou jako CVE-2025-57739 se závažností CVSSv3.1 7.7. Přihlášenému útočníkovi může umožnit spuštění neautorizovaného kódu nebo příkazů pomocí speciálně vytvořených HTTP požadavků.
V produktu FortiSIEM byla odhalena kritická zranitelnost typu 'path traversal' evidovaná jako CVE-2026-106173 se skóre CVSS 9.4. Neautentizovaný útočník může pomocí speciálně vytvořených paketů spustit neautorizovaný kód nebo příkazy, k dispozici je již oficiální oprava.
V produktech Fortinet bylo odhaleno několik zranitelností. Podle CERT-FR mohou některé z nich útočníkovi umožnit vzdálené spuštění libovolného kódu, eskalaci privilegií nebo vzdálené odepření služby.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnosti v produktech společnosti Fortinet, mezi které patří například FortiAnalyzer, FortiManager, FortiMail či FortiSIEM. Chyby zahrnují SQL injection, libovolný zápis do souborů nebo nesprávné řízení přístupu a zdroj doporučuje aplikovat příslušné aktualizace.
Vydavatel informuje o zranitelnosti typu OS Command Injection v démonu fgfmd produktu FortiManager se skóre CVSSv3 5.3. Vzdálený útočník vydávající se za uzel clusteru může pomocí speciálně vytvořených paketů spustit neoprávněný kód či příkazy. K napodobení uzlu je však nutné disponovat jeho certifikátem a privátním klíčem.
Podle oznámení bezpečnostního týmu Fortinet může zranitelnost typu SQL injection v rozhraní FortiMail webmail umožnit přihlášenému útočníkovi provádět neoprávněný kód nebo příkazy pomocí upravených HTTP požadavků. Chyba dosahuje skóre CVSSv3 7.7.
Podle bezpečnostního týmu Fortinet může zranitelnost typu nezachycená výjimka (CWE-248) ve FortiSandbox umožnit privilegovanému útočníkovi trvale odepřít přístup k rozhraní GUI a CLI. Útok lze provést pomocí speciálně vytvořených HTTP požadavků a chyba dosáhla skóre CVSSv3 4.8.
Fortinet informoval o zranitelnosti typu SQL injection v produktech FortiAnalyzer, FortiManager, FortiManager Cloud a FortiAnalyzer Cloud se skóre CVSS 7.9. Podle oznámení může méně privilegovaný uživatel pomocí speciálně upravených požadavků spouštět libovolné příkazy.
Podle bezpečnostního týmu společnosti Fortinet obsahuje webové rozhraní FortiSandbox zranitelnost typu obcházení autentizace s hodnocením CVSSv3 9.6. Vzdálený neautentizovaný útočník může pomocí upravených požadavků HTTP obejít přihlášení.
Podle bezpečnostního oznámení společnosti Fortinet může nesprávné ošetření HTML tagů ve webovém rozhraní produktů FortiManager a FortiAnalyzer umožnit útok typu cross-site scripting (XSS). Útočník může zranitelnost se skóre CVSSv3 4,9 zneužít prostřednictvím pole pro název poskytovatele identity.
Podle vydavatele obsahuje systém FortiOS zranitelnost typu 'Improper Locking' se skóre CVSSv3 6,7. Neautentizovaný útočník se síťovým přístupem k zařízení může pomocí speciálně vytvořených požadavků HTTP způsobit odepření služby správcovského rozhraní HTTPS.
Podle oznámení Fortinet PSIRT obsahuje API v produktech FortiSandbox a FortiSandbox Cloud zranitelnost typu použití pevně zadaného kryptografického klíče se skóre CVSSv3 4.9. Neautentizovaný útočník může pomocí speciálně vytvořených požadavků HTTP získat přístup k vybraným koncovým bodům.
Podle výrobce Fortinet obsahuje FortiOS, FortiProxy a FortiSwitch zranitelnost typu double free se skóre CVSSv3 2.1. Místní autentizovaný útočník může pomocí speciálně vytvořených CLI příkazů způsobit pád daemona newcli.
Podle výrobce Fortinet obsahuje grafické rozhraní FortiSIEM zranitelnost spočívající v chybějící autorizaci se skóre CVSSv3 3.4. Přihlášený útočník může pomocí speciálně vytvořených HTTP požadavků spustit neautorizovaný kód nebo příkazy.
Podle bezpečnostního týmu Fortinet obsahuje produkt FortiSIEM zranitelnost typu path traversal se skóre CVSSv3 9.4. Neautentizovaný útočník může pomocí speciálně vytvořených paketů spustit neoprávněný kód nebo příkazy.
Kritická zranitelnost typu path traversal CVE-2026-104286 s CVSS 9,8 umožňuje neautentizovanému útočníkovi zapisovat libovolné soubory na systém pomocí HTTP či HTTPS požadavků a provádět kód. Chyba se týká verzí FortiMail 7.2, 7.4, 7.6 a 8.0 s aktivní funkcí IBE a je aktivně zneužívána v útocích.
Francouzský národní kyberbezpečnostní úřad CERT-FR informuje o odhalení několika zranitelností v produktech Fortinet. Tyto chyby mohou útočníkovi umožnit vzdálené spuštění libovolného kódu, navýšení oprávnění i vzdálené vyvolání odepření služby.
Fortinet opravil zranitelnost v démonu cw_acd systémů FortiOS a FortiSwitchManager, která neautentizovaným vzdáleným útočníkům umožňuje spouštět libovolný kód. Podle aktualizace zařadila americká agentura CISA tuto chybu do katalogu aktivně zneužívaných zranitelností a doporučuje se okamžitá aplikace oprav.
Kanadské centrum pro kybernetickou bezpečnost aktualizovalo varování k produktům Fortinet poté, co agentura CISA zařadila zranitelnost CVE-2025-25249 do katalogu aktivně zneužívaných chyb. Problémy se týkají systémů FortiFone, FortiOS, FortiSASE, FortiSIEM a FortiSwitchManager.
Kanadské centrum pro kybernetickou bezpečnost upozorňuje na zranitelnosti v produktech Fortinet, mezi něž patří FortiOS, FortiProxy, rozšíření FortiPAM pro Chrome, FortiSandbox, FortiSandbox Cloud, FortiSandbox PaaS a FortiMonitorOnSight. Zdroj doporučuje uživatelům a správcům prostudovat vydaná doporučení a aplikovat potřebné aktualizace.
Zdroj uvádí, že byly vydány bezpečnostní aktualizace pro různé produkty Fortinet. Tyto záplaty řeší několik zranitelností, z nichž jedna dosahuje kritické a jedna vysoké závažnosti.
Agentura CISA zařadila do svého katalogu KEV čtyři nové zranitelnosti na základě důkazů o jejich aktivním zneužívání. Týkají se produktů společností Fortinet (CVE-2025-25249), Citrix (CVE-2026-19490), Google (CVE-2026-87491) a Cisco (CVE-2026-20079).
Ve webovém rozhraní FortiSandbox, FortiSandbox Cloud a FortiSandbox PaaS byla zjištěna zranitelnost nesprávného řízení přístupu CVE-2026-26084 se skóre CVSS 8,9. Neautentizovaný útočník může přes síť pomocí upravených HTTP požadavků získat přístup k citlivým informacím bez nutnosti interakce uživatele. Fortinet již vydal oficiální opravu.
Zranitelnost typu 'Command Injection' v nástroji Fortinet FortiSandbox umožňuje přihlášenému útočníkovi vzdáleně spouštět neautorizovaný kód či příkazy pomocí upravených HTTP požadavků. K dispozici je oficiální oprava, přičemž NCSC-FI uvádí CVSS skóre 6.7 a ZDI hodnotí závažnost skórem 7.2.
Ve funkcionalitě Agentless ZTNA portal v systémech FortiOS a FortiProxy byla zjištěna zranitelnost nesprávného ověřování certifikátů s označením CVE-2026-84393. Vzdálený neautentizovaný útočník může podle zdroje provést útok typu Man-in-the-Middle na komunikaci mezi ZTNA portálem a cílovým backendovým webem.
Finský NCSC informuje o kritické chybě CVE-2026-84390 s CVSS 9.6 ve webovém portálu FortiMonitorOnSight, kde je JWT pro autentizaci podepisován statickým klíčem. Vzdálený neautentizovaný útočník tak může obejít ověření identity pomocí podvrženého nebo znovu použitého tokenu; k dispozici je již oficiální oprava.
Podle NCSC-FI umožňuje kritická zranitelnost nesprávného ověření CVE-2026-84388 v rozšíření Fortinet Privileged Access Agent pro prohlížeč Chrome vzdálenému neautentizovanému útočníkovi přesměrovat provoz uživatele přes vlastní servery při návštěvě škodlivého webu. Náprava vyžaduje aktualizaci FortiPAM na verzi 1.9.1 nebo 1.8.4 a rozšíření pro Chrome na verzi 8.0.1.123 či vyšší.
Agentura CISA přidala zranitelnost CVE-2025-25249 v produktech společnosti Fortinet do katalogu aktivně zneužívaných zranitelností KEV. Zranitelnost spočívá v přetečení vyrovnávací paměti na haldě a termín pro nápravu byl stanoven na 12. září 2026.
Podle bezpečnostního oznámení obsahuje bezagentový portál ZTNA v systémech FortiOS a FortiProxy zranitelnost nesprávného ověření certifikátu s hodnocením CVSSv3 7,3. Vzdálený neautentizovaný útočník může této chyby využít k provedení útoku typu Man-in-the-Middle na komunikační kanál mezi portálem ZTNA a cílovým backendovým webem.
Podle bezpečnostního týmu společnosti Fortinet obsahuje produkt FortiManager zranitelnost nesprávného řízení přístupu [CWE-284] s hodnocením CVSSv3 4.7. Chyba může administrátorovi umožnit obejít proces schvalování relací workflow pomocí upravených HTTP nebo HTTPS požadavků.
Společnost Fortinet informovala o zranitelnosti typu 'Use of Uninitialized Variable' (CWE-457) v SNMP démonu produktu FortiAnalyzer se skóre CVSSv3 5.9. Vzdálený ověřený útočník s uživatelským oprávněním může chybu zneužít k vyvolání odepření služby pomocí SNMP požadavků GETBULK.
Podle bezpečnostního oznámení společnosti Fortinet obsahuje webové rozhraní produktů FortiSandbox, FortiSandbox Cloud a FortiSandbox PaaS zranitelnost nesprávného řízení přístupu s hodnocením CVSSv3 8.9. Neautentizovaný útočník může pomocí speciálně vytvořených HTTP požadavků získat přístup k citlivým informacím.
Podle společnosti Fortinet obsahuje produkt FortiSIEM zranitelnost typu 'open redirect' s CVSS skóre 2.8. Přihlášený útočník může pomocí speciálně vytvořených HTTP požadavků způsobit přesměrování uživatele na libovolnou webovou stránku.
Podle společnosti Fortinet může zranitelnost typu 'NULL Pointer Dereference' (CWE-476) v systémech FortiOS, FortiProxy a FortiPAM umožnit autentizovanému útočníkovi shodit démona httpsd pomocí speciálně vytvořených HTTP požadavků. Chyba má přidělené skóre CVSSv3 o hodnotě 2.5.
Podle bezpečnostního týmu Fortinet PSIRT obsahuje webový portál FortiMonitorOnSight zranitelnost CWE-540 s CVSS skóre 9.6 způsobenou citlivými informacemi ve zdrojovém kódu. Vzdálený neautentizovaný útočník může tuto chybu zneužít k obejití autentizace pomocí podvrženého nebo znovu použitého JWT tokenu.
Zdroj uvádí, že zranitelnost nesprávné autentizace v rozšíření Fortinet Privileged Access Agent pro Chrome má skóre CVSSv3 9.1. Vzdálený neautentizovaný útočník může při návštěvě škodlivého webu uživatelem přesměrovat jeho provoz z prohlížeče přes servery pod svou kontrolou.
Podle bezpečnostního varování obsahuje FortiSandbox zranitelnost typu 'command injection' se skóre CVSSv3 6.7. Chyba může privilegovanému útočníkovi umožnit spuštění neautorizovaného kódu nebo příkazů prostřednictvím speciálně vytvořených HTTP požadavků.
Podle vydavatele obsahuje FortiSOAR zranitelnost nesprávného řízení přístupu se skóre CVSSv3 4.9. Přihlášený útočník bez jakýchkoli oprávnění může pomocí upravených WebSocket požadavků odebírat streamy a témata nebo do streamu vkládat vysílané zprávy.
Podle společnosti Fortinet obsahuje ovladač fortimon3 v aplikaci FortiClient pro Windows zranitelnost neověřeného vlastnictví se skóre CVSSv3 4.7. Chyba může autentizovanému útočníkovi umožnit ukončit libovolné procesy prostřednictvím exponovaného komunikačního portu minifiltru.
Podle italského CSIRT bylo zaznamenáno aktivní zneužívání zranitelnosti CVE-2026-35616 v řešení FortiClient EMS, kterou výrobce již dříve opravil. Útočníkům může tato chyba umožnit eskalaci oprávnění a vzdálené spuštění libovolného kódu na zasažených zařízeních.