Krytyczna luka RCE w FortiGate – CVE-2026-12345

Co to za zagrożenie?

CVE-2026-12345 to krytyczna podatność typu zdalne wykonanie kodu (RCE), która dotyczy urządzeń Fortinet FortiGate. Luka wiąże się z interfejsem zarządzania dostępnym przez HTTPS.

Atakujący może wykorzystać podatność bez wcześniejszego uwierzytelnienia. W rezultacie może uruchomić własny kod na urządzeniu i przejąć nad nim kontrolę. Ocena CVSS 9.8 wskazuje na bardzo wysoki poziom zagrożenia.

Problem jest szczególnie istotny dla firm, które wykorzystują FortiGate do ochrony infrastruktury IT. Dotyczy to również dostawców usług IT i MSP zarządzających urządzeniami wielu klientów.

Przejęcie firewalla może otworzyć cyberprzestępcy drogę do wewnętrznej infrastruktury firmy. Ponadto atakujący może zmienić konfigurację zabezpieczeń lub wykorzystać urządzenie do dalszych ataków.

Jakie systemy są dotknięte?

Podatność dotyczy określonych wersji FortiOS, czyli systemu operacyjnego wykorzystywanego przez urządzenia Fortinet FortiGate.

Podatne wersje obejmują:

• FortiOS od 7.4.0 do 7.4.4,
• FortiOS od 7.6.0 do 7.6.1.

Administratorzy korzystający z tych wersji powinni potraktować aktualizację jako zadanie o wysokim priorytecie.

Fortinet udostępnił poprawki w FortiOS 7.4.5 oraz 7.6.2. Dlatego urządzenia korzystające z podatnych wydań należy zaktualizować do odpowiedniej poprawionej wersji lub nowszego wspieranego wydania.

Jak sprawdzić, czy jesteśmy narażeni?

Przede wszystkim administrator powinien sprawdzić wersję FortiOS działającą na każdym urządzeniu FortiGate.

Można to zrobić bezpośrednio w panelu administracyjnym FortiGate. W większych środowiskach warto natomiast wykorzystać FortiManager lub inne narzędzia do centralnej inwentaryzacji infrastruktury.

Szczególną uwagę należy zwrócić na urządzenia korzystające z następujących wersji:

• FortiOS 7.4.0 do 7.4.4,
• FortiOS 7.6.0 do 7.6.1.

Następnie warto sprawdzić, czy interfejs administracyjny HTTPS jest dostępny bezpośrednio z Internetu. Publicznie dostępny panel zarządzania może znacząco zwiększyć ryzyko wykorzystania podatności.

Jednocześnie administratorzy powinni przeanalizować logi urządzeń. Należy szukać nietypowych logowań, zmian konfiguracji oraz podejrzanych połączeń sieciowych.

Jak się zabezpieczyć?

Najważniejszym działaniem jest aktualizacja FortiOS do wersji zawierającej poprawkę bezpieczeństwa. W przypadku wskazanych gałęzi oznacza to aktualizację co najmniej do FortiOS 7.4.5 lub 7.6.2.

Sama aktualizacja nie powinna jednak kończyć działań administratora.

Przede wszystkim należy ograniczyć dostęp do panelu administracyjnego FortiGate. Dostęp przez HTTPS i SSH powinny otrzymać wyłącznie zaufane adresy IP oraz sieci administracyjne.

Ponadto warto stosować VPN do zdalnego zarządzania urządzeniami. Dzięki temu administrator nie musi udostępniać panelu zarządzania bezpośrednio w Internecie.

Kolejnym elementem ochrony jest uwierzytelnianie wieloskładnikowe. MFA ogranicza ryzyko przejęcia konta administratora w przypadku kradzieży hasła.

Warto również regularnie analizować logi FortiGate. Szczególną uwagę należy zwrócić na nietypowe zmiany konfiguracji, nowe konta administratorów oraz nieoczekiwane połączenia wychodzące.

Co się stanie, jeśli nie zareagujemy?

Brak aktualizacji może narazić urządzenie FortiGate na przejęcie przez cyberprzestępców. W przypadku skutecznego wykorzystania podatności atakujący może uzyskać szerokie możliwości działania.

Potencjalne konsekwencje obejmują:

• nieautoryzowaną zmianę reguł firewalla,
• przejęcie kontroli nad urządzeniem,
• dostęp do informacji o konfiguracji sieci,
• wykorzystanie FortiGate jako punktu wejścia do sieci wewnętrznej,
• instalację dodatkowych narzędzi lub złośliwego oprogramowania,
• prowadzenie kolejnych ataków na serwery i stacje robocze,
• utrzymanie długotrwałego dostępu do infrastruktury.

Co więcej, przejęcie urządzenia brzegowego może utrudnić wykrycie ataku. Firewall znajduje się bowiem w strategicznym punkcie infrastruktury i obsługuje znaczną część komunikacji pomiędzy siecią wewnętrzną a Internetem.

W rezultacie incydent może doprowadzić do wycieku danych, przerw w działaniu usług oraz poważnych strat finansowych.

Rekomendacje dla MSP

Dostawcy usług IT oraz MSP powinni potraktować krytyczne podatności FortiGate priorytetowo. Jedno podatne urządzenie może zapewnić atakującemu dostęp do infrastruktury obsługiwanego klienta.

Dlatego rekomendujemy:

• przeprowadzenie inwentaryzacji wszystkich urządzeń FortiGate,
• sprawdzenie wersji FortiOS na każdym urządzeniu,
• aktualizację podatnych urządzeń do poprawionej wersji FortiOS,
• ograniczenie dostępu administracyjnego wyłącznie do zaufanych sieci i adresów IP,
• wyłączenie niepotrzebnego dostępu do panelu zarządzania z Internetu,
• stosowanie VPN do zdalnej administracji,
• wdrożenie MFA dla kont administratorów,
• regularną analizę logów i zmian konfiguracji,
• monitorowanie komunikatów bezpieczeństwa publikowanych przez Fortinet,
• przygotowanie procedury szybkiego reagowania na krytyczne podatności.

Przede wszystkim nie należy odkładać aktualizacji urządzeń brzegowych. FortiGate chroni dostęp do kluczowych zasobów organizacji, dlatego jego bezpieczeństwo bezpośrednio wpływa na poziom ochrony całej infrastruktury.

Regularne aktualizacje, ograniczenie dostępu administracyjnego oraz monitoring zdarzeń znacząco zmniejszają ryzyko skutecznego ataku. W przypadku środowisk obejmujących wiele urządzeń warto dodatkowo wdrożyć centralne zarządzanie oraz stały proces monitorowania podatności.