Fortinet 披露 FortiManager 和 FortiAnalyzer 的多项访问漏洞

11 月公告列出不同的访问路径。升级前应核对具体 CVE、产品和版本系列。

• CVE-2026-126261（FGFM）： 影响 FortiManager 8.0.0、7.6.0–7.6.7、7.4.0–7.4.5 和 7.2.0–7.2.8。对应的修复版本为 8.0.1、7.6.8、7.4.6 和 7.2.9。攻击者必须能访问 FGFM 服务。
• CVE-2026-126170（HTTP 代码执行）： 影响 FortiManager 和 FortiAnalyzer 8.0.0–8.0.2，以及两者云版本的 8.0.1–8.0.2。四种产品的 7.6.0–7.6.7 均受影响，修复版本为 7.6.8。厂商将其 8.0 系列的 8.0.3 标为即将发布。FortiAnalyzer-BigData 7.6.0–7.6.2 也受影响，7.6.3 标为即将发布。请向厂商或托管服务核实可用性。
• CVE-2026-126229（跨 VDOM 授权）： CNA 列出的 FortiManager 和 FortiAnalyzer 受影响范围为 8.0.0–8.0.1、7.6.0–7.6.7、7.4.0–7.4.11、7.2.0–7.2.12 及所有 7.0 版本。两种云产品的范围为 8.0.1、7.6.0–7.6.7、7.4.1–7.4.11、7.2.1–7.2.12 及所有 7.0 版本。公告所列修复目标为 8.0.2、7.6.8、7.4.12 和 7.2.13。7.0 用户应向 Fortinet 核实迁移路径。此漏洞要求攻击者已通过管理员身份验证。

Fortinet 称，HTTP 代码执行路径要求启用 JSON API，该功能默认关闭。等待修复期间，对每个已启用 API 访问的管理员配置文件使用厂商 CLI 临时措施。先核查关闭后对自动化的影响，再核实变更后的实际权限。

config system admin profile
  edit <profile name>
    set rpc-permit none
end

10 月加固公告在具体漏洞公告前给出了产品级处置建议。其中的 8.0.2 仍在 CVE-2026-126170 的受影响范围内。本轮未核实这三个 CVE 的在野利用或受害者数据。