- Aktif istismar
- Yama var
- CWE-288
CVE-2026-24858
Fortinet ürünlerinde FortiCloud SSO kimlik doğrulama atlatma açığı
Fortinet FortiAnalyzerFortinet FortiManagerFortinet FortiNAC-F
- Yayımlandı
- Güncellendi
- 9 Haz 2026
- Açık yaşı
- 273 gün
- Kaydı açan
- fortinet
Yönetici özeti
Bu açık, Fortinet güvenlik ve yönetim cihazlarına yetkisiz kişilerin giriş yapmasına imkân tanıyor ve aktif olarak istismar ediliyor. Kurumun ağ güvenliği ve yönetim altyapısı ele geçirilebilir. Yamaların acilen uygulanması gerekiyor.
ÖzetTürkçe
Fortinet FortiOS, FortiManager, FortiAnalyzer, FortiProxy, FortiWeb ve FortiNAC-F ürünlerinin birçok sürümünde alternatif yol veya kanal kullanılarak kimlik doğrulamanın atlatılmasına izin veren bir açık (CWE-288) bulunuyor. FortiCloud hesabı ve kayıtlı bir cihazı olan bir saldırgan, cihazlarda FortiCloud SSO kimlik doğrulaması etkinse başka hesaplara kayıtlı cihazlara giriş yapabiliyor. Açık CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer alıyor ve CVSS puanı 9.4 (kritik).
Saldırgan ne yapabilir?
Saldırgan, kimlik bilgisi olmadan diğer müşterilere ait Fortinet cihazlarına yönetici düzeyinde erişim sağlayabilir. Bu durum cihaz yapılandırmasının ele geçirilmesine, değiştirilmesine ve hizmetlerin kesintiye uğramasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
An Authentication Bypass Using an Alternate Path or Channel vulnerability [CWE-288] vulnerability in Fortinet FortiAnalyzer 7.6.0 through 7.6.5, FortiAnalyzer 7.4.0 through 7.4.9, FortiAnalyzer 7.2.0 through 7.2.11, FortiAnalyzer 7.0.0 through 7.0.15, FortiManager 7.6.0 through 7.6.5, FortiManager 7.4.0 through 7.4.9, FortiManager 7.2.0 through 7.2.11, FortiManager 7.0.0 through 7.0.15, FortiNAC-F 7.6.3 through 7.6.5, FortiOS 7.6.0 through 7.6.5, FortiOS 7.4.0 through 7.4.10, FortiOS 7.2.0 through 7.2.12, FortiOS 7.0.0 through 7.0.18, FortiProxy 7.6.0 through 7.6.4, FortiProxy 7.4.0 through 7.4.12, FortiProxy 7.2.0 through 7.2.15, FortiProxy 7.0.0 through 7.0.22, FortiWeb 8.0.0 through 8.0.3, FortiWeb 7.6.0 through 7.6.6, FortiWeb 7.4.0 through 7.4.11 may allow an attacker with a FortiCloud account and a registered device to log into other devices registered to other accounts, if FortiCloud SSO authentication is enabled on those devices.
Üreticinin çözüm notu (İngilizce)
Upgrade to upcoming FortiOS version 8.0.0 or above
Upgrade to FortiOS version 7.6.6 or above
Upgrade to FortiOS version 7.4.11 or above
Upgrade to FortiOS version 7.2.13 or above
Upgrade to FortiOS version 7.0.19 or above
Upgrade to upcoming FortiManager version 8.0.0 or above
Upgrade to FortiManager version 7.6.6 or above
Upgrade to FortiManager version 7.4.10 or above
Upgrade to FortiManager version 7.2.12 or above
Upgrade to FortiManager version 7.0.16 or above
Upgrade to FortiAnalyzer version 7.6.6 or above
Upgrade to FortiAnalyzer version 7.4.10 or above
Upgrade to FortiAnalyzer version 7.2.12 or above
Upgrade to FortiAnalyzer version 7.0.16 or above
Upgrade to FortiProxy version 7.6.5 or above
Upgrade to FortiProxy version 7.4.13 or above
Upgrade to FortiProxy version 7.2.16 or above
Upgrade to FortiProxy version 7.0.23 or above
Upgrade to FortiWeb version 8.0.4 or above
Upgrade to FortiWeb version 7.6.7 or above
Upgrade to FortiWeb version 7.4.12 or above
Upgrade to FortiNAC-F version 7.6.6 or above
Upgrade to FortiSwitchManager version 7.2.9 or above
Upgrade to FortiSwitchManager version 7.0.8 or above
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Etkilenen ürünlerin sürümlerini belirleyin ve üreticinin yayımladığı düzeltilmiş sürümlere yükseltin: FortiOS 7.6.6, 7.4.11, 7.2.13 veya 7.0.19 ve üzeri; FortiManager 7.6.6, 7.4.10, 7.2.12 veya 7.0.16 ve üzeri; FortiAnalyzer 7.6.6, 7.4.10, 7.2.12 veya 7.0.16 ve üzeri. Üretici
- FortiProxy için 7.6.5, 7.4.13, 7.2.16 veya 7.0.23 ve üzeri; FortiWeb için 8.0.4, 7.6.7 veya 7.4.12 ve üzeri; FortiNAC-F için 7.6.6 ve üzeri; FortiSwitchManager için 7.2.9 veya 7.0.8 ve üzeri sürümlere yükseltin. FortiOS, FortiManager için 8.0.0 sürümü yayımlandığında bu sürüme de geçilebilir. Üretici
- Üreticinin talimatlarına göre azaltım önlemlerini uygulayın, bulut hizmetleri için geçerli BOD 22-01 yönergelerini izleyin; azaltım önlemleri mümkün değilse ürünün kullanımını durdurun. CISA
- Yükseltme hemen yapılamıyorsa etkilenen cihazlarda FortiCloud SSO kimlik doğrulamasını geçici olarak devre dışı bırakın ve yönetim arayüzlerine erişimi güvenilir ağlarla sınırlayın. Genel öneri
Ek önlemler
- Cihazların yönetim arayüzlerini doğrudan internete açmayın; erişimi VPN veya IP kısıtlamaları arkasında tutun. Genel öneri
- Cihaz oturum ve yönetici giriş günlüklerini inceleyin; tanımadığınız SSO girişlerini ve yapılandırma değişikliklerini araştırın. Genel öneri
- Açığın aktif istismar edildiği göz önüne alınarak, yama öncesi dönemde yetkisiz erişim şüphesi varsa yönetici parolalarını ve ilgili anahtarları yenileyin. Genel öneri
- SSO gibi bulut tabanlı kimlik doğrulama özelliklerini yalnızca gerçekten ihtiyaç duyulan cihazlarda etkin tutun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler6 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Fortinet FortiAnalyzer | ≥ 7.6.0, ≤ 7.6.5 | – |
| ≥ 7.4.0, ≤ 7.4.9 | – | |
| ≥ 7.2.0, ≤ 7.2.11 | – | |
| ≥ 7.0.0, ≤ 7.0.15 | – | |
| Fortinet FortiManager | ≥ 7.6.0, ≤ 7.6.5 | – |
| ≥ 7.4.0, ≤ 7.4.9 | – | |
| ≥ 7.2.0, ≤ 7.2.11 | – | |
| ≥ 7.0.0, ≤ 7.0.15 | – | |
| Fortinet FortiNAC-F | ≥ 7.6.3, ≤ 7.6.5 | – |
| Fortinet FortiOS | ≥ 7.6.0, ≤ 7.6.5 | – |
| ≥ 7.4.0, ≤ 7.4.10 | – | |
| ≥ 7.2.0, ≤ 7.2.12 | – |
ve 8 satır daha
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.