CVE-2026-121529CVSS 9.1本地 API 来源校验错误
未认证的远程攻击者可在受害者交互后，通过本地 API 执行代码或命令。
FortiClient 本地 API 漏洞可让恶意网页触发代码执行
CVE-2026-121529 允许远程攻击者在受害者与攻击者控制的内容交互时，通过 FortiClient 本地 API 执行代码或命令。发现者在启用 FortiPAM 时复现了该漏洞。
- 披露时间
- 2026年11月10日
- 公开披露日期
- 严重程度
- CVSS 9.1
- 本页收录 1 个 CVE
- 波及范围
- 受影响的 FortiClient Mac、Windows 和 Windows PAM 构建。发现者在启用 FortiPAM 时演示了浏览器攻击路径。
- Fortinet · FortiClient · endpoint
- 在野利用
- 未知
- 发现者已复现该漏洞，尚未确认在野利用。
发生了什么
Fortinet 披露了 FortiClient 本地 API 的来源校验漏洞。发现者演示了恶意网页如何访问启用了 FortiPAM 的工作站上的本地服务并执行代码。攻击需要受害者交互。已演示的浏览器攻击路径无需从互联网向工作站发起入站连接。
Fortinet 的 CVE 记录列出 Mac 7.4.0–7.4.7、Windows 7.4.0–7.4.7 和 7.2.0–7.2.14，以及 Windows PAM 7.4.7 和 7.2.14。发现者及巴拿马 CSIRT 列出的 Windows PAM 范围更宽，为 7.4.0–7.4.7 和 7.2.0–7.2.14。应按较宽范围为 Windows PAM 部署已公布的更新，同时向 Fortinet 核对版本类型和分支。发现者列出的 Windows 监听端口和进程可作为进一步核查安装版本的线索。是否失陷仍需排查终端活动。
马桶里有什么
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| FortiClient Mac、Windows 和 Windows PAM 7.4 | 7.4.8 | |
| FortiClient Windows 和 Windows PAM 7.2 | 7.2.15 |
案发时间线
2026年11月10日
Fortinet 披露 FortiClient 本地 API 漏洞
FG-IR-26-194 和 Fortinet 的 CVE 记录说明了需要受害者交互的代码执行漏洞。
2026年11月11日
巴拿马 CSIRT 发布升级版本表
通报列出 Windows、Windows PAM 和 Mac 的 7.4.8，以及 Windows 和 Windows PAM 的 7.2.15。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Fortinet CNA record一手来源厂商提交的记录说明了交互前提、9.1 评分及较窄的 Windows PAM 影响列表。
- Kevin Joensen’s original disclosure一手来源发现者说明了启用 FortiPAM 时从浏览器访问本地服务的路径、Windows 暴露线索及较宽的 Windows PAM 影响范围。
- CSIRT Panamá advisory公开 CERT 通报转述了补丁版本表及厂商披露时的在野利用状态。