Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-126170 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-12 |
| Producent | Fortinet |
| Produkt | FortiAnalyzer, FortiManager (także Cloud i BigData) |
| Typ podatności | niewłaściwe kodowanie lub escapowanie danych wyjściowych (CWE-116) |
| CVSS Score | 9.8 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, Fortinet PSIRT
Podatność polegająca na niewłaściwym kodowaniu lub escapowaniu danych wyjściowych w Fortinet FortiAnalyzer 8.0.0–8.0.2 i 7.6.0–7.6.7, FortiAnalyzer Cloud 8.0.1–8.0.2 i 7.6.0–7.6.7, FortiAnalyzer-BigData 7.6.0–7.6.2, FortiManager 8.0.0–8.0.2 i 7.6.0–7.6.7 oraz FortiManager Cloud 8.0.1–8.0.2 i 7.6.0–7.6.7 może pozwolić nieuwierzytelnionemu atakującemu na wykonanie nieautoryzowanego kodu lub poleceń za pomocą specjalnie spreparowanego żądania HTTP.
Atak idzie przez interfejs HTTP/HTTPS urządzenia, więc szczególnie narażone są instancje, których panel administracyjny jest dostępny z internetu lub z szerokich segmentów sieci wewnętrznej.
Wymagane działania
- Zaktualizuj FortiAnalyzer, FortiManager i ich odmiany Cloud/BigData do wersji wskazanych w biuletynie Fortinet FG-IR-26-219 (instancje Cloud aktualizuje producent — sprawdź ich wersję w konsoli).
- Ogranicz dostęp do interfejsu administracyjnego (HTTP/HTTPS) do dedykowanej sieci zarządzania lub listy zaufanych adresów.
- Przejrzyj logi pod kątem nietypowych żądań HTTP, nowych kont administracyjnych i nieoczekiwanych zmian konfiguracji.
Kogo dotyczy?
Podatność dotyczy Fortinet FortiAnalyzer 8.0.0–8.0.2 i 7.6.0–7.6.7, FortiAnalyzer Cloud 8.0.1–8.0.2 i 7.6.0–7.6.7, FortiAnalyzer-BigData 7.6.0–7.6.2, FortiManager 8.0.0–8.0.2 i 7.6.0–7.6.7 oraz FortiManager Cloud 8.0.1–8.0.2 i 7.6.0–7.6.7. FortiAnalyzer służy do centralnego zbierania logów i raportowania, a FortiManager do centralnego zarządzania zaporami FortiGate — oba są powszechne w polskich firmach i u dostawców usług zarządzanych.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-126170?
CVE-2026-126170 to błąd niewłaściwego kodowania lub escapowania danych wyjściowych (CWE-116) w Fortinet FortiAnalyzer i FortiManager, który pozwala wykonać kod lub polecenia przez spreparowane żądanie HTTP. Ocena CVSS: 9.8.
Czy do wykorzystania CVE-2026-126170 potrzebne jest uwierzytelnienie?
Nie. Wystarczy dostęp sieciowy do interfejsu HTTP/HTTPS urządzenia; atak nie wymaga uwierzytelnienia ani interakcji użytkownika.
Jak zabezpieczyć się przed CVE-2026-126170?
Zaktualizować FortiAnalyzer i FortiManager zgodnie z biuletynem FG-IR-26-219 i ograniczyć dostęp do interfejsu administracyjnego do sieci zarządzania.
Kogo dotyczy CVE-2026-126170?
Organizacji korzystających z FortiAnalyzer lub FortiManager 7.6–8.0.2, także w wersjach Cloud i FortiAnalyzer-BigData 7.6.0–7.6.2.
