Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-126229 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-12 |
| Producent | Fortinet |
| Produkt | FortiAnalyzer, FortiManager (także Cloud) |
| Typ podatności | obejście autoryzacji przez klucz kontrolowany przez użytkownika (CWE-639) |
| CVSS Score | 9.1 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, Fortinet PSIRT
Podatność obejścia autoryzacji przez klucz kontrolowany przez użytkownika w Fortinet FortiAnalyzer 8.0.0–8.0.1, 7.6.0–7.6.7, 7.4.0–7.4.11 i wszystkich wersjach 7.2, FortiAnalyzer Cloud 8.0.1, 7.6.0–7.6.7, 7.4.1–7.4.11 i wszystkich wersjach 7.2, FortiManager 8.0.0–8.0.1, 7.6.0–7.6.7, 7.4.0–7.4.11 i wszystkich wersjach 7.2 oraz FortiManager Cloud 8.0.1, 7.6.0–7.6.7, 7.4.1–7.4.11 i wszystkich wersjach 7.2 może pozwolić uwierzytelnionemu administratorowi na dostęp do innych VDOM za pomocą specjalnie spreparowanych żądań HTTP.
VDOM (domeny wirtualne) rozdzielają dane i konfiguracje poszczególnych jednostek, oddziałów lub klientów. Luka łamie tę izolację — najbardziej dotyka środowiska wielodzierżawne, np. dostawców usług zarządzanych, w których administrator jednego klienta mógłby sięgnąć do danych innego. Atak wymaga konta administracyjnego (PR:H), co tłumaczy ocenę niższą niż w przypadku luk nieuwierzytelnionych.
Wymagane działania
- Zaktualizuj FortiAnalyzer i FortiManager (oraz sprawdź wersję instancji Cloud) zgodnie z biuletynem Fortinet FG-IR-26-244.
- Przejrzyj listę kont administracyjnych przypisanych do poszczególnych VDOM i usuń zbędne.
- Do czasu aktualizacji monitoruj logi audytowe pod kątem dostępu administratorów do VDOM spoza ich przydziału.
Kogo dotyczy?
Podatność dotyczy Fortinet FortiAnalyzer i FortiManager 8.0.0–8.0.1, 7.6.0–7.6.7, 7.4.0–7.4.11 i wszystkich wersji 7.2 oraz ich odmian Cloud (8.0.1, 7.6.0–7.6.7, 7.4.1–7.4.11, wszystkie 7.2). Ryzyko jest największe w instalacjach z wieloma VDOM i wieloma administratorami. FortiAnalyzer służy do centralnego zbierania logów i raportowania, a FortiManager do centralnego zarządzania zaporami FortiGate — oba są powszechne w polskich firmach i u dostawców usług zarządzanych.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-126229?
CVE-2026-126229 to błąd obejścia autoryzacji przez klucz kontrolowany przez użytkownika (CWE-639) w Fortinet FortiAnalyzer i FortiManager, który pozwala administratorowi uzyskać dostęp do innych VDOM. Ocena CVSS: 9.1.
Czy do wykorzystania CVE-2026-126229 potrzebne jest uwierzytelnienie?
Tak. Atakujący musi mieć konto administracyjne (z dostępem ograniczonym do wybranych VDOM); luka pozwala przekroczyć ten zakres.
Jak zabezpieczyć się przed CVE-2026-126229?
Zaktualizować FortiAnalyzer i FortiManager zgodnie z biuletynem FG-IR-26-244 i ograniczyć liczbę kont administracyjnych.
Kogo dotyczy CVE-2026-126229?
Organizacji i dostawców usług zarządzanych używających FortiAnalyzer lub FortiManager 7.2–8.0.1 (także Cloud) z wieloma VDOM.
