Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-126257 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-12 |
| Producent | Fortinet |
| Produkt | FortiAuthenticator |
| Typ podatności | użycie zakodowanego na stałe hasła (CWE-259) |
| CVSS Score | 9.0 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, Fortinet PSIRT
Podatność polegająca na użyciu zakodowanego na stałe hasła w Fortinet FortiAuthenticator 8.0.0–8.0.3 i 6.6.0–6.6.10 może pozwolić nieuwierzytelnionemu atakującemu na obejście weryfikacji poświadczeń — w pewnych okolicznościach niezależnych od atakującego — i uzyskanie nieautoryzowanego dostępu.
Wykorzystanie zależy od warunków, na które atakujący nie ma wpływu (wysoka złożoność ataku, AC:H), dlatego ocena wynosi 9.0, a nie więcej. Skutki wykraczają jednak poza samo urządzenie (S:C). FortiAuthenticator to serwer uwierzytelniania (RADIUS/LDAP, MFA, SSO) używany m.in. do logowania do VPN FortiGate — jego przejęcie otwiera drogę do kont i dostępu zdalnego.
Wymagane działania
- Zaktualizuj FortiAuthenticator do wersji wskazanej w biuletynie Fortinet FG-IR-26-271.
- Ogranicz dostęp sieciowy do FortiAuthenticatora do systemów, które z niego korzystają (FortiGate, serwery aplikacji), i do sieci zarządzania.
- Przejrzyj logi uwierzytelniania pod kątem udanych logowań, których nie da się powiązać z użytkownikami.
Kogo dotyczy?
Podatność dotyczy Fortinet FortiAuthenticator 8.0.0–8.0.3 i 6.6.0–6.6.10. FortiAuthenticator to serwer uwierzytelniania (RADIUS/LDAP, MFA, SSO) używany m.in. do logowania do VPN FortiGate — jego przejęcie otwiera drogę do kont i dostępu zdalnego.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-126257?
CVE-2026-126257 to błąd użycia zakodowanego na stałe hasła (CWE-259) w Fortinet FortiAuthenticator, który w pewnych okolicznościach pozwala obejść weryfikację poświadczeń. Ocena CVSS: 9.0.
Czy do wykorzystania CVE-2026-126257 potrzebne jest uwierzytelnienie?
Nie. Atak nie wymaga uwierzytelnienia, ale powodzenie zależy od okoliczności niezależnych od atakującego (AC:H).
Jak zabezpieczyć się przed CVE-2026-126257?
Zaktualizować FortiAuthenticator zgodnie z biuletynem FG-IR-26-271 i ograniczyć dostęp sieciowy do urządzenia.
Kogo dotyczy CVE-2026-126257?
Organizacji korzystających z FortiAuthenticator 6.6.0–6.6.10 lub 8.0.0–8.0.3.
