En bref
- Le fait. Le 13 octobre 2026, Fortinet a publié son lot mensuel de dix avis de sécurité (FG-IR-26-176 à FG-IR-26-185). Deux failles sont critiques : un défaut de contrôle d'accès et de gestion de session dans l'interface web d'administration de FortiSandbox (FG-IR-26-185) et une écriture arbitraire de fichiers dans FortiSIEM (FG-IR-26-180). Des failles de sévérité haute touchent FortiAnalyzer, FortiManager et FortiMail. Aucune n'est signalée comme exploitée. Le CERT-FR a publié l'avis CERTFR-2026-AVI-1306 le 14 octobre.
- Êtes-vous concerné ? Si vous utilisez un pare-feu FortiGate, vous êtes concerné par deux failles de sévérité moyenne et basse ce mois-ci. Si votre prestataire exploite pour vous FortiAnalyzer, FortiManager, FortiMail, FortiSandbox ou FortiSIEM, les correctifs sont plus urgents.
- Quoi faire :
- demandez à votre prestataire la liste des équipements Fortinet utilisés et leur version ;
- faites appliquer en priorité les correctifs FortiSandbox et FortiSIEM, puis FortiAnalyzer, FortiManager et FortiMail ;
- pour les FortiGate en 8.0.0 ou en 7.6.4 à 7.6.6, prévoyez le passage en 8.0.1 ou 7.6.7 lors de la prochaine fenêtre de maintenance.
- Urgence : critique, selon Fortinet (FortiSandbox et FortiSIEM) ; moyenne pour les pare-feu FortiGate.
Détail technique
Failles critiques (avis Fortinet) :
| Avis | Produit | CVE | CVSS | Versions concernées | Version à installer |
|---|---|---|---|---|---|
| FG-IR-26-185 | FortiSandbox (contrôle d'accès et gestion de session de l'interface web) | CVE-2026-107656 | 9.6 | 5.0.0 à 5.0.6 ; 4.4.0 à 4.4.9 | 5.0.7 ; 4.4.10 (5.2 non concernée) |
| FG-IR-26-180 | FortiSIEM (écriture arbitraire de fichiers, service phQueryMaster) | CVE-2026-106173 | 9.4 | 7.5.0 | 7.5.1 (7.6 non concernée) |
Pour FortiSIEM, Fortinet indique que restreindre l'accès au port TCP 27918 bloque le problème, en attendant la mise à jour ; FortiSIEM Cloud n'est pas concerné.
Failles de sévérité haute :
- FG-IR-26-178, FortiAnalyzer et FortiManager, injections SQL permettant la lecture ou l'écriture de fichiers (CVE-2025-46773, CVE-2026-23705, CVE-2026-23706, CVE-2026-23707, CVSS 7.9). Corrigé en FortiAnalyzer 7.6.5 et 7.4.8, FortiManager 7.6.5 et 7.4.7 ; branche 7.2 : migrer vers une version corrigée ; branche 8.0 non concernée ;
- FG-IR-26-184, FortiMail, injection SQL dans le webmail (CVE-2025-57739, CVSS 7.7). Corrigé en 7.6.4, 7.4.6 et 7.2.9 ; Fortinet indique que FortiMail Cloud est déjà corrigé.
Pare-feu FortiGate (FortiOS) :
- FG-IR-26-181, déni de service de l'interface d'administration (CVE-2026-106174, moyenne, CVSS 6.7) : FortiOS 8.0.0 corrigé en 8.0.1, FortiOS 7.6.4 à 7.6.6 corrigés en 7.6.7 ; branches 7.4 et 7.2 non concernées ;
- FG-IR-26-182, double libération mémoire (CVE-2026-106175, basse, CVSS 2.1) : pour FortiOS 7.6.0 à 7.6.7, Fortinet annonce un correctif dans la future version 7.6.9 ; FortiOS 7.4 et 7.2 : migrer vers une version corrigée ; FortiOS 8.0 non concerné. FortiProxy et FortiSwitch 7.6 sont corrigés en 7.6.7.
Autres avis du même jour :
- FortiSandbox, déni de service persistant (FG-IR-26-176, CVE-2026-106170, moyenne) et contournement d'authentification de l'API Fabric (FG-IR-26-179, CVE-2026-106172, moyenne) : corrigés en 5.0.7 ; sur la branche 5.2, la 5.2.2 corrige FG-IR-26-176 et Fortinet l'annonce à venir pour FG-IR-26-179 ; branche 4.4 : migrer vers une version corrigée. Pour FortiSandbox, la 5.0.7 couvre donc l'ensemble des avis du mois ;
- FortiManager, exécution de commandes dans le démon fgfmsd (FG-IR-26-177, CVE-2026-106171, moyenne, CVSS 5.3) : 8.0.0 corrigé en 8.0.1, 7.6.0 à 7.6.6 corrigés en 7.6.7 ; 7.4 et 7.2 non concernées. Sur la branche 7.6, la 7.6.7 couvre aussi FG-IR-26-178 ;
- FortiSIEM, contrôle d'autorisation défaillant (FG-IR-26-183, CVE-2026-106176, basse) : toutes les versions 7.5 concernées, migration vers une version corrigée (la branche 7.6 n'est pas concernée).
KEV. Non pour les CVE de ce cycle mensuel (catalogue KEV de la CISA, version du 21 octobre 2026). Deux autres failles Fortinet ont en revanche été ajoutées au catalogue KEV en octobre, hors de ce cycle et traitées par des avis distincts : CVE-2026-104286 (FortiMail, avis FG-IR-26-175, ajoutée le 1er octobre) et CVE-2025-61624 (plusieurs produits Fortinet, avis FG-IR-26-122, ajoutée le 16 octobre). Si vous utilisez ces produits, vérifiez aussi l'application de ces avis.
Vérifier sa version. Sur un FortiGate : tableau de bord de l'interface d'administration, ou commande get system status en ligne de commande. Les autres produits affichent leur version sur leur tableau de bord.