-
11 november 2026 om 04:19 | person_outline 31
Fortinet waarschuwt voor meerdere kritieke beveiligingslekken in zijn producten.
Fortinet heeft op 10 november 2026 kritieke beveiligingslekken bekendgemaakt die FortiManager, FortiAnalyzer en FortiOS treffen. Sommige van deze kwetsbaarheden kunnen aanvallers toestaan code uit te voeren zonder dat er eerst ingelogd hoeft te worden. De specifieke vereisten voor het uitbuiten van de lekken variëren per kwetsbaarheid.
De hoogst gewaardeerde kwetsbaarheid, CVE-2026-126170 met een CVSS-score van 9.8, betreft een JSON-injectie in de JSON-RPC API van FortiManager en FortiAnalyzer. Indien de JSON API is ingeschakeld, kan een succesvolle exploitatie leiden tot ongeauthenticeerde code-uitvoering via speciaal vervaardigde verzoeken. Het uitschakelen van ongebruikte JSON API-toegang met `set rpc-permit none` vermindert de blootstelling. Voor de 8.0-tak is er bijzondere aandacht vereist, aangezien versie 8.0.3 nog moest verschijnen op het moment van de melding.
Een andere kritieke kwetsbaarheid, CVE-2026-126261 met een CVSS-score van 9.0, treft de FGFM-service van FortiManager. Aanvallers met toegang tot de FGFM-poort (TCP 541) kunnen code uitvoeren door speciaal vervaardigde pakketten te sturen, zelfs voordat het registratiewachtwoord is geverifieerd. De getroffen versies van FortiManager zijn 8.0.0, 7.6.0 tot en met 7.6.7, 7.4.0 tot en met 7.4.5, en 7.2.0 tot en met 7.2.8. Gepatchte versies zijn 8.0.1, 7.6.8, 7.4.6 en 7.2.9.
CVE-2026-126262 (CVSS 9.3) maakt SQL-injectie mogelijk via OFTP (TCP 514) op FortiAnalyzer- en FortiManager-systemen met ingeschakelde FortiAnalyzer-functies. Deze kwetsbaarheid vereist geen login en kan leiden tot code-uitvoering.
Daarnaast betreft CVE-2026-126260 (CVSS 9.0) een OFTP-risico dat pre-authenticatie Server-Side Request Forgery (SSRF) mogelijk maakt op FortiAnalyzer en FortiManager met ingeschakelde FortiAnalyzer-functies. Dit kan de server ertoe aanzetten verzoeken uit te voeren, wat verschilt van SQL-injectie die directe code-uitvoering toestaat.
In FortiOS is CVE-2026-126254 (CVSS 9.6) een numeriek truncatielek in de BGP-afhandeling, waarvoor verkeer van een geconfigureerde iBGP-buur vereist is. CVE-2026-126253 (CVSS 9.3) maakt een OSPF-authenticatie-bypass mogelijk, wat kan leiden tot het toestaan van vervalste routeringsadvertenties.
Verder kan CVE-2026-126229 (CVSS 9.1) een geauthenticeerde beheerder toegang geven tot andere virtuele domeinen (VDOM's) buiten hun toegewezen bereik. En CVE-2026-126259 (CVSS 9.0) maakt code-uitvoering met super-admin-privileges mogelijk in specifieke FortiOS-configuraties met FGSP, standalone configuratiesynchronisatie, of getroffen autoscale-configuraties.
De publicaties van 10 november 2026 omvatten lekken in management API's, apparaatcommunicatiediensten, routing en specifieke high availability configuraties. Fortinet heeft vóór de publicatie van de gedetailleerde adviezen updates uitgebracht. Fortinet adviseert klanten om prioriteit te geven aan blootgestelde systemen, configuraties te back-uppen en ongeautoriseerde wijzigingen te monitoren.
De hoogst gewaardeerde kwetsbaarheid, CVE-2026-126170 met een CVSS-score van 9.8, betreft een JSON-injectie in de JSON-RPC API van FortiManager en FortiAnalyzer. Indien de JSON API is ingeschakeld, kan een succesvolle exploitatie leiden tot ongeauthenticeerde code-uitvoering via speciaal vervaardigde verzoeken. Het uitschakelen van ongebruikte JSON API-toegang met `set rpc-permit none` vermindert de blootstelling. Voor de 8.0-tak is er bijzondere aandacht vereist, aangezien versie 8.0.3 nog moest verschijnen op het moment van de melding.
Een andere kritieke kwetsbaarheid, CVE-2026-126261 met een CVSS-score van 9.0, treft de FGFM-service van FortiManager. Aanvallers met toegang tot de FGFM-poort (TCP 541) kunnen code uitvoeren door speciaal vervaardigde pakketten te sturen, zelfs voordat het registratiewachtwoord is geverifieerd. De getroffen versies van FortiManager zijn 8.0.0, 7.6.0 tot en met 7.6.7, 7.4.0 tot en met 7.4.5, en 7.2.0 tot en met 7.2.8. Gepatchte versies zijn 8.0.1, 7.6.8, 7.4.6 en 7.2.9.
CVE-2026-126262 (CVSS 9.3) maakt SQL-injectie mogelijk via OFTP (TCP 514) op FortiAnalyzer- en FortiManager-systemen met ingeschakelde FortiAnalyzer-functies. Deze kwetsbaarheid vereist geen login en kan leiden tot code-uitvoering.
Daarnaast betreft CVE-2026-126260 (CVSS 9.0) een OFTP-risico dat pre-authenticatie Server-Side Request Forgery (SSRF) mogelijk maakt op FortiAnalyzer en FortiManager met ingeschakelde FortiAnalyzer-functies. Dit kan de server ertoe aanzetten verzoeken uit te voeren, wat verschilt van SQL-injectie die directe code-uitvoering toestaat.
In FortiOS is CVE-2026-126254 (CVSS 9.6) een numeriek truncatielek in de BGP-afhandeling, waarvoor verkeer van een geconfigureerde iBGP-buur vereist is. CVE-2026-126253 (CVSS 9.3) maakt een OSPF-authenticatie-bypass mogelijk, wat kan leiden tot het toestaan van vervalste routeringsadvertenties.
Verder kan CVE-2026-126229 (CVSS 9.1) een geauthenticeerde beheerder toegang geven tot andere virtuele domeinen (VDOM's) buiten hun toegewezen bereik. En CVE-2026-126259 (CVSS 9.0) maakt code-uitvoering met super-admin-privileges mogelijk in specifieke FortiOS-configuraties met FGSP, standalone configuratiesynchronisatie, of getroffen autoscale-configuraties.
De publicaties van 10 november 2026 omvatten lekken in management API's, apparaatcommunicatiediensten, routing en specifieke high availability configuraties. Fortinet heeft vóór de publicatie van de gedetailleerde adviezen updates uitgebracht. Fortinet adviseert klanten om prioriteit te geven aan blootgestelde systemen, configuraties te back-uppen en ongeautoriseerde wijzigingen te monitoren.
Facts
1. Fortinet heeft kritieke beveiligingslekken bekendgemaakt die de producten FortiManager, FortiAnalyzer en FortiOS treffen. De meldingen werden gepubliceerd op 10 november 2026.
2. Sommige van deze lekken kunnen aanvallers in staat stellen code uit te voeren zonder dat zij hoeven in te loggen. De vereisten voor het aanvallen van de lekken verschillen per kwetsbaarheid.
3. De hoogst gewaardeerde kwetsbaarheid, CVE-2026-126170 (CVSS 9.8), betreft een JSON-injectie in de JSON-RPC API van FortiManager en FortiAnalyzer. Een succesvolle exploitatie van deze kwetsbaarheid, wanneer de JSON API is ingeschakeld, kan leiden tot ongeauthenticeerde code-uitvoering via speciaal vervaardigde verzoeken. Het uitschakelen van ongebruikte JSON API-toegang met `set rpc-permit none` vermindert de blootstelling. Voor de 8.0-tak vereist deze kwetsbaarheid bijzondere aandacht, aangezien versie 8.0.3 nog moest verschijnen.
4. Een andere kritieke kwetsbaarheid, CVE-2026-126261 (CVSS 9.0), treft de FGFM-service van FortiManager. Voor deze kwetsbaarheid kunnen aanvallers, die toegang hebben tot de FGFM-poort (TCP 541), code uitvoeren door speciaal vervaardigde pakketten te sturen. Dit lek treedt op voordat het registratiewachtwoord is geverifieerd. De getroffen versies van FortiManager zijn 8.0.0, 7.6.0 tot 7.6.7, 7.4.0 tot 7.4.5, en 7.2.0 tot 7.2.8. De gepatchte versies zijn 8.0.1, 7.6.8, 7.4.6 en 7.2.9.
5. CVE-2026-126262 (CVSS 9.3) maakt SQL-injectie mogelijk via OFTP (TCP 514) op FortiAnalyzer- en FortiManager-systemen met ingeschakelde FortiAnalyzer-functies. Hiervoor is geen login vereist en een succesvolle exploitatie kan leiden tot code-uitvoering.
6. CVE-2026-126260 (CVSS 9.0) is een afzonderlijk OFTP-risico dat pre-authenticatie Server-Side Request Forgery (SSRF) betreft op FortiAnalyzer en FortiManager met ingeschakelde FortiAnalyzer-functies. De impact hiervan omvat het laten uitvoeren van verzoeken door de server, wat verschilt van SQL-injectie die code-uitvoering mogelijk maakt.
7. CVE-2026-126254 (CVSS 9.6) is een numeriek truncatielek in de BGP-afhandeling van FortiOS. Hiervoor is verkeer van een geconfigureerde iBGP-buur vereist.
8. CVE-2026-126253 (CVSS 9.3) betreft een OSPF-authenticatie-bypass die het toestaan van vervalste routeringsadvertenties mogelijk kan maken.
9. CVE-2026-126229 (CVSS 9.1) kan een geauthenticeerde beheerder toestaan toegang te krijgen tot andere virtuele domeinen (VDOM's) buiten hun toegewezen bereik.
10. CVE-2026-126259 (CVSS 9.0) maakt code-uitvoering met super-admin-privileges mogelijk in specifieke FortiOS-configuraties met FGSP en standalone configuratiesynchronisatie, of getroffen autoscale-configuraties.
11. De meldingen, gepubliceerd op 10 november 2026, omvatten management API's, apparaatcommunicatiediensten, routing en specifieke high availability configuraties.
12. Fortinet heeft updates uitgebracht vóór de publicatie van de gedetailleerde adviezen.
13. Fortinet raadt klanten aan om prioriteit te geven aan blootgestelde systemen, configuraties te back-uppen en ongeautoriseerde wijzigingen te monitoren.
Popup content goes here.
Nog geen account? Klik hier om te registreren!
Met een account heeft u de mogelijkheid om het gehele nieuwsoverzicht te bekijken en op ieder artikel een reactie-icoon te geven.
Met Newsfacts.info kunt u op de hoogte blijven van de laatste ontwikkelingen, zonder veel tijd te besteden aan het volgen van het nieuws. Ontdek vandaag nog de voordelen van Newsfacts.info!
Login
-
Gebruikersnaam
-
Wachtwoord