Новости Fortinet
Fortinet FG-IR-26-178 выявляет SQL-инъекции в FortiAnalyzer и FortiManager
Fortinet опубликовала 13 октября 2026 года бюллетень FG-IR-26-178 с описанием нескольких уязвимостей SQL-инъекций в продуктах FortiAnalyzer и FortiManager.
13 октября 2026 года компания Fortinet опубликовала бюллетень безопасности FG-IR-26-178. Документ описывает несколько уязвимостей SQL-инъекций в FortiAnalyzer, FortiManager и их облачных версиях.
Технические детали уязвимостей Fortinet FG-IR-26-178
Уязвимости относятся к классу CWE-89. Аутентифицированный пользователь с низкими привилегиями может выполнять произвольные команды через специально сформированные запросы в веб-интерфейсе. Общий уровень опасности оценен как высокий, базовый показатель CVSSv3 составляет 7,9 для одной из четырех связанных CVE.
Список идентификаторов включает CVE-2025-46773, CVE-2026-23705, CVE-2026-23706 и CVE-2026-23707. Уязвимости обнаружены специалистами Fortinet, публичных случаев эксплуатации не зарегистрировано. Виртуальные патчи отсутствуют.
Проблемы затрагивают компонент GUI. Fortinet не предоставила временных решений, поэтому единственным способом устранения остается обновление программного обеспечения.
Затронутые версии и порядок обновления
Под уязвимости попадают FortiAnalyzer и FortiManager версий 7.6.0–7.6.4, 7.4.0–7.4.7 и все релизы 7.2. Аналогичные ограничения распространяются на облачные варианты FortiAnalyzer Cloud и FortiManager Cloud. Версии 8.0 и отдельные облачные ветки не затронуты.
Для FortiAnalyzer рекомендуется перейти на 7.6.5 или новее, а также на 7.4.8 или новее. Для FortiManager — на 7.6.5 или новее и 7.4.7 или новее. Пользователям веток 7.2 следует выполнить миграцию на поддерживаемые релизы. Соответствующие обновления доступны и для облачных сервисов.
Организациям следует провести инвентаризацию установок, запланировать обновления по приоритету и отслеживать новые публикации на портале FortiGuard PSIRT. На 20 октября 2026 года дополнительных региональных бюллетеней или подтвержденных инцидентов в открытых источниках не появилось.
Рекомендации по реагированию на FG-IR-26-178
Администраторам необходимо проверить наличие уязвимых версий в инфраструктуре и применить исправления в соответствии с официальным бюллетенем. Мониторинг логов и обновление политик доступа помогут снизить потенциальные риски до завершения миграции.
Fortinet продолжает выпускать обновления для продуктов линейки FortiAnalyzer и FortiManager. Пользователи могут подписаться на рассылку FortiGuard PSIRT, чтобы получать уведомления о новых бюллетенях без задержек.
Частые вопросы
Какие версии FortiAnalyzer и FortiManager затронуты бюллетенем FG-IR-26-178?
Уязвимости присутствуют в FortiAnalyzer и FortiManager 7.6.0–7.6.4, 7.4.0–7.4.7 и всех релизах 7.2, а также в соответствующих облачных версиях. Версии 8.0 и отдельные облачные ветки не затронуты.
Какой уровень опасности уязвимостей в FG-IR-26-178?
Общий уровень опасности оценен как высокий. Базовый показатель CVSSv3 достигает 7,9 для одной из четырех CVE, перечисленных в бюллетене.
Есть ли известные случаи эксплуатации уязвимостей Fortinet FG-IR-26-178?
На момент публикации бюллетеня и по состоянию на 20 октября 2026 года подтвержденных случаев эксплуатации в публичных источниках не зафиксировано.
Какие действия рекомендует Fortinet после выхода FG-IR-26-178?
Компания рекомендует обновить FortiAnalyzer до 7.6.5 или новее и FortiManager до 7.6.5 или 7.4.7 соответственно, а также выполнить миграцию с веток 7.2.
Комментарии 1