Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-126259 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-12 |
| Producent | Fortinet |
| Produkt | FortiOS |
| Typ podatności | brak uwierzytelniania dla krytycznej funkcji (CWE-306) |
| CVSS Score | 9.8 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, Fortinet PSIRT
Podatność polegająca na braku uwierzytelniania dla krytycznej funkcji w Fortinet FortiOS 8.0.0, 7.6.0–7.6.7, 7.4.0–7.4.12 i 7.2.0–7.2.13 może pozwolić nieuwierzytelnionemu atakującemu — przy konfiguracji HA FGSP ze standalone-config-sync lub przy autoscale — na wykonanie poleceń z uprawnieniami super admina za pomocą spreparowanych pakietów HA.
Podatne są zapory FortiGate pracujące w klastrze FGSP (FortiGate Session Life Support Protocol) z włączoną synchronizacją konfiguracji standalone-config-sync albo w trybie autoscale (typowym dla wdrożeń chmurowych). Udany atak oznacza pełne przejęcie zapory.
Wymagane działania
- Zaktualizuj FortiOS do wersji wskazanej w biuletynie Fortinet FG-IR-26-273.
- Sprawdź, czy używasz FGSP ze
standalone-config-synclub autoscale — jeśli tak, potraktuj aktualizację priorytetowo. - Do czasu aktualizacji odizoluj interfejsy i ruch HA/synchronizacji w dedykowanym segmencie, niedostępnym z innych sieci.
- Przejrzyj konta administracyjne i historię zmian konfiguracji zapór pod kątem nieautoryzowanych modyfikacji.
Kogo dotyczy?
Podatność dotyczy Fortinet FortiOS 8.0.0, 7.6.0–7.6.7, 7.4.0–7.4.12 i 7.2.0–7.2.13 w konfiguracjach HA FGSP ze standalone-config-sync lub autoscale. FortiOS to system zapór FortiGate, bardzo popularnych w polskich firmach i instytucjach.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-126259?
CVE-2026-126259 to błąd braku uwierzytelniania dla krytycznej funkcji (CWE-306) w Fortinet FortiOS, który pozwala wykonać polecenia jako super admin przez spreparowane pakiety HA. Ocena CVSS: 9.8.
Czy do wykorzystania CVE-2026-126259 potrzebne jest uwierzytelnienie?
Nie. Atak nie wymaga uwierzytelnienia, ale zapora musi pracować w konfiguracji HA FGSP ze standalone-config-sync lub autoscale, a atakujący musi móc wysłać do niej pakiety HA.
Jak zabezpieczyć się przed CVE-2026-126259?
Zaktualizować FortiOS zgodnie z biuletynem FG-IR-26-273 i odizolować ruch HA w dedykowanym segmencie sieci.
Kogo dotyczy CVE-2026-126259?
Organizacji używających FortiGate z FortiOS 7.2–8.0.0 w klastrze FGSP ze standalone-config-sync lub w trybie autoscale.
