Fortinet FortiOS, FortiProxy et FortiPAM : faille de la ligne de commande désormais exploitée

En bref

• Le fait. Le 16 octobre 2026, la CISA a ajouté au catalogue KEV la faille CVE-2025-61624, publiée par Fortinet le 14 avril 2026 dans le bulletin FG-IR-26-122. Il s'agit d'une traversée de chemin dans l'interpréteur de ligne de commande de FortiOS, FortiProxy, FortiPAM et FortiSwitchManager : un attaquant disposant de privilèges peut écrire ou supprimer des fichiers arbitraires. Fortinet la signale désormais comme exploitée. Source : bulletin Fortinet.
• Êtes-vous concerné ? Si votre entreprise utilise un pare-feu FortiGate (FortiOS), un FortiProxy, FortiPAM ou FortiSwitchManager dont les mises à jour d'avril 2026 n'ont pas été appliquées, ou une ancienne branche (FortiOS 6.4, 7.0 ou 7.2).
• Quoi faire :
  1. faites vérifier la version de vos équipements Fortinet et mettez à jour vers la version corrigée de votre branche ;
  2. pour les branches sans correctif (FortiOS 6.4, 7.0 et 7.2 notamment), planifiez la migration vers une branche maintenue ;
  3. limitez les comptes administrateur et l'accès à l'interface d'administration aux seules adresses de confiance.
• Urgence : modérée : la faille demande un compte privilégié, mais la CISA signale une exploitation active, souvent en complément d'autres failles.

Détail technique

Identifiants. CVE-2025-61624, bulletin FG-IR-26-122 : traversée de chemin (CWE-22) dans l'interpréteur de ligne de commande, permettant à un attaquant privilégié d'écrire ou de supprimer des fichiers. Pas d'alerte ni d'avis CERT-FR identifiés en octobre 2026 pour cet ajout au KEV.

Produits et versions.

• FortiOS 7.6 : versions affectées 7.6.0 à 7.6.4 ; version corrigée : 7.6.5 ou ultérieure.
• FortiOS 7.4 : versions affectées 7.4.0 à 7.4.9 ; version corrigée : 7.4.10 ou ultérieure.
• FortiOS 7.2, 7.0 et 6.4 : versions affectées toutes les versions ; version corrigée : migrer vers une branche corrigée.
• FortiProxy 7.6 : versions affectées 7.6.0 à 7.6.4 ; version corrigée : 7.6.5 ou ultérieure.
• FortiProxy 7.4 : versions affectées 7.4.0 à 7.4.11 ; version corrigée : 7.4.12 ou ultérieure.
• FortiProxy 7.2 et 7.0 : versions affectées toutes les versions ; version corrigée : migrer vers une branche corrigée.
• FortiPAM 1.7 : versions affectées 1.7.0 ; version corrigée : 1.7.1 ou ultérieure.
• FortiPAM 1.0 à 1.6 : versions affectées toutes les versions ; version corrigée : migrer vers une branche corrigée (FortiPAM 1.8 n'est pas affecté).
• FortiSwitchManager 7.2 : versions affectées 7.2.0 à 7.2.7 ; version corrigée : 7.2.8 ou ultérieure.
• FortiSwitchManager 7.0 : versions affectées 7.0.0 à 7.0.6 ; version corrigée : 7.0.7 ou ultérieure.

KEV. Oui : ajoutée au catalogue KEV de la CISA le 16 octobre 2026.

Exploitation active. Oui, selon Fortinet (« Known Exploited : Yes ») et la CISA.

IOC publics. Aucun indicateur publié dans le bulletin de l'éditeur.

Remédiation.

• Mettre à jour vers FortiOS 7.6.5 ou 7.4.10, FortiProxy 7.6.5 ou 7.4.12, FortiPAM 1.7.1, FortiSwitchManager 7.2.8 ou 7.0.7 (ou ultérieures).
• Migrer les branches non corrigées vers une version maintenue, en suivant le chemin de mise à niveau recommandé par Fortinet.
• Fortinet propose aussi un correctif virtuel (FG-VD-59270.0day) via le service FortiGuard de correctifs virtuels.
• Restreindre l'accès d'administration et revoir les comptes administrateur.