Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-126254 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-12 |
| Producent | Fortinet |
| Produkt | FortiOS |
| Typ podatności | błąd obcięcia wartości liczbowej (CWE-197) |
| CVSS Score | 9.6 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, Fortinet PSIRT
Podatność typu błąd obcięcia wartości liczbowej w Fortinet FortiOS 8.0.0–8.0.1, 7.6.0–7.6.7, 7.4.0–7.4.12 i 7.2.0–7.2.13 może pozwolić skonfigurowanemu sąsiadowi iBGP na wysłanie złośliwych lub zniekształconych atrybutów do wszystkich połączonych routerów za pomocą specjalnie spreparowanego żądania.
Luka dotyczy zapór FortiGate wymieniających trasy przez iBGP. Atakujący musi kontrolować skonfigurowanego sąsiada BGP (np. przejęty router lub inną zaporę w tym samym systemie autonomicznym), ale skutki wykraczają poza samo urządzenie (zakres zmieniony, S:C) — zniekształcone atrybuty mogą rozejść się po całej sieci routingu i zakłócić jej działanie.
Wymagane działania
- Zaktualizuj FortiOS do wersji wskazanej w biuletynie Fortinet FG-IR-26-268.
- Sprawdź, które zapory mają skonfigurowane sesje iBGP, i nadaj im pierwszeństwo przy aktualizacji.
- Zweryfikuj listę sąsiadów BGP, używaj uwierzytelniania sesji BGP i filtrów atrybutów tam, gdzie to możliwe.
Kogo dotyczy?
Podatność dotyczy Fortinet FortiOS 8.0.0–8.0.1, 7.6.0–7.6.7, 7.4.0–7.4.12 i 7.2.0–7.2.13 na urządzeniach z włączonym iBGP — typowo w większych sieciach z routingiem dynamicznym, SD-WAN i wieloma oddziałami. FortiOS to system zapór FortiGate, bardzo popularnych w polskich firmach i instytucjach.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-126254?
CVE-2026-126254 to błąd obcięcia wartości liczbowej (CWE-197) w obsłudze BGP w Fortinet FortiOS, który pozwala sąsiadowi iBGP rozesłać złośliwe atrybuty do połączonych routerów. Ocena CVSS: 9.6.
Czy do wykorzystania CVE-2026-126254 potrzebne jest uwierzytelnienie?
Częściowo. Atakujący musi być skonfigurowanym sąsiadem iBGP (wymagane niskie uprawnienia, PR:L), np. przez przejęcie routera w sieci.
Jak zabezpieczyć się przed CVE-2026-126254?
Zaktualizować FortiOS zgodnie z biuletynem FG-IR-26-268 i zweryfikować sąsiadów BGP oraz uwierzytelnianie sesji.
Kogo dotyczy CVE-2026-126254?
Organizacji używających FortiGate z FortiOS 7.2–8.0.1 i skonfigurowanym routingiem iBGP.
