Krytyczne podatności w produktach Fortinet – zalecenia dla administratorów

Urządzenia zabezpieczające firmową sieć również wymagają regularnych aktualizacji. Fortinet zapowiedział na 22 października 2026 r. skoordynowane wydania FortiOS, FortiManager i FortiAnalyzer, uzupełniające wcześniejsze aktualizacje FortiMail oraz FortiAuthenticator. Pakiet obejmuje poprawki podatności krytycznych i wysokiego ryzyka. Producent zaleca pilne wdrożenie, ze szczególnym uwzględnieniem urządzeń dostępnych z Internetu.

Dla firm korzystających z tych rozwiązań oznacza to konieczność sprawdzenia wersji oprogramowania i przygotowania kontrolowanej aktualizacji. Sam fakt, że urządzenie działa poprawnie i nie zgłasza błędów, nie potwierdza jego bezpieczeństwa.

Które wersje wymagają aktualizacji?

Poniższa tabela przedstawia wersje zawierające poprawki wskazane w komunikacie Fortinet. Numery odnoszą się do poszczególnych gałęzi oprogramowania.

Produkt	Wersje zawierające poprawki
FortiOS	8.0.2, 7.6.8, 7.4.13, 7.2.14 lub nowsze w odpowiedniej gałęzi
FortiManager	8.0.2, 7.6.8, 7.4.12, 7.2.13 lub nowsze w odpowiedniej gałęzi
FortiAnalyzer	8.0.2, 7.6.8, 7.4.12, 7.2.13 lub nowsze w odpowiedniej gałęzi
FortiMail	8.0.2, 7.6.7, 7.4.9 lub nowsze w odpowiedniej gałęzi; dla 7.2 producent wskazuje migrację do poprawionej wersji z gałęzi 7.4 lub późniejszej
FortiAuthenticator	8.0.4, 6.6.11 lub nowsze w odpowiedniej gałęzi

FortiSASE ma zostać zaktualizowany automatycznie. FortiManager Cloud może wymagać ręcznego uruchomienia aktualizacji. Szczegółowe biuletyny bezpieczeństwa producent zapowiedział na 10 listopada 2026 r.

Wersję docelową należy dobrać do konkretnego modelu, obsługiwanej gałęzi i zależności w środowisku. Brak starszej wersji w tabeli nie powinien być traktowany jako potwierdzenie jej bezpieczeństwa.

Co wiadomo o zagrożeniu?

Komunikat zbiorczy nie podaje identyfikatorów CVE ani pełnych warunków wykorzystania poszczególnych podatności. Nie stanowi też potwierdzenia ich aktywnego wykorzystywania w atakach.

Na tym etapie nie należy więc przypisywać wszystkim wymienionym produktom jednakowego scenariusza ataku, na przykład przejęcia urządzenia bez uwierzytelnienia.

Z perspektywy organizacji znaczenie ma jednak rola tych systemów. Naruszenie bezpieczeństwa infrastruktury odpowiedzialnej za ochronę sieci, zarządzanie urządzeniami, pocztę lub uwierzytelnianie może wpłynąć na wiele usług jednocześnie. Dlatego przegląd powinien obejmować również systemy wewnętrzne, a nie tylko urządzenia brzegowe.

Jak przygotować bezpieczną aktualizację?

BOIT rekomenduje potraktowanie wdrożenia jako pilnej, kontrolowanej zmiany technicznej. Pośpiech nie powinien oznaczać pominięcia zależności, kopii konfiguracji czy testów działania usług.

1. Ustal zakres prac

Przygotuj listę urządzeń i instancji wirtualnych. Dla każdej pozycji zapisz model, wersję oprogramowania, lokalizację, sposób zarządzania oraz obsługiwane usługi.

Uwzględnij także oddziały, środowiska zapasowe i instancje chmurowe. Pozwoli to uniknąć sytuacji, w której główna lokalizacja zostanie zaktualizowana, a mniej widoczne urządzenie pozostanie pominięte.

2. Sprawdź ścieżkę aktualizacji

Nie zakładaj, że przejście bezpośrednio do wersji docelowej jest właściwe. Fortinet udostępnia narzędzie Upgrade Path Tool wskazujące przetestowane ścieżki aktualizacji FortiGate. Przed wdrożeniem należy również zapoznać się z uwagami do wydania.

W środowisku zarządzanym centralnie sprawdź kompatybilność FortiOS z FortiManager i FortiAnalyzer. Dla klastra HA uwzględnij procedurę aktualizacji właściwą dla danego wdrożenia.

3. Przygotuj możliwość odtworzenia działania

Wykonaj kopię konfiguracji i zabezpiecz ją przed nieuprawnionym dostępem. Ustal sposób odzyskania dostępu administracyjnego, jeśli po zmianie przestanie działać połączenie zdalne.

Przygotuj również plan odtworzenia środowiska. Nie zakładaj, że powrót do poprzedniego firmware zawsze będzie prosty i zachowa pełną zgodność konfiguracji.

4. Ustal okno serwisowe i testy

Przed rozpoczęciem prac określ, kto zatwierdza zmianę, kto ją wykonuje oraz jakie usługi należy sprawdzić po zakończeniu.

Testy powinny obejmować odpowiednio do środowiska:

• dostęp do Internetu i usług firmowych,
• tunele VPN oraz komunikację między lokalizacjami,
• uwierzytelnianie użytkowników i administratorów,
• działanie poczty oraz integracji,
• przesyłanie logów i odbiór alertów,
• stan klastra HA i synchronizację konfiguracji.

Samo ponowne uruchomienie urządzenia nie jest wystarczającym potwierdzeniem poprawnego wdrożenia.

Jak ograniczyć ryzyko do czasu aktualizacji?

Poniższe działania BOIT rekomenduje jako dodatkowe zabezpieczenia organizacyjne i konfiguracyjne. Nie należy traktować ich jako potwierdzonej ochrony przed każdą z nieopisanych jeszcze podatności.

• Zweryfikuj dostęp administracyjny. Ustal, skąd rzeczywiście można połączyć się z panelami zarządzania i czy każdy z tych dostępów jest potrzebny.
• Oddziel zarządzanie od zwykłego ruchu użytkowników. Dostęp administracyjny powinien odbywać się przez kontrolowaną ścieżkę, z ograniczonym zakresem uprawnień.
• Uporządkuj konta. Sprawdź konta nieużywane, współdzielone oraz dostępy pozostawione po zakończonych pracach serwisowych.
• Zweryfikuj MFA i procedury awaryjne. Dodatkowy składnik uwierzytelniania wzmacnia ochronę kont, ale nie usuwa błędów w oprogramowaniu.
• Sprawdź monitoring. Upewnij się, że zdarzenia administracyjne są rejestrowane, a alerty trafiają do osób mogących podjąć działanie.

Ograniczenie dostępu powinno zostać przeprowadzone tak, aby nie odciąć administratorów od urządzenia ani nie zakłócić wymaganej komunikacji między systemami.

Co zrobić, jeśli pojawią się oznaki naruszenia?

Nieznane konto administratora, niewyjaśniona zmiana konfiguracji lub nietypowe logowanie wymagają osobnej analizy.

Aktualizacja oprogramowania nie jest równoznaczna z usunięciem skutków wcześniejszego włamania. W przypadku podejrzenia incydentu należy zabezpieczyć dostępne logi i historię zmian, ustalić zakres zdarzenia oraz zaplanować dalsze działania. Zmiana haseł, kluczy lub certyfikatów powinna wynikać z oceny tego, jakie dane i uprawnienia mogły zostać ujawnione.

Jak BOIT może pomóc Twojej firmie?

BOIT wspiera organizacje w przeglądzie środowisk Fortinet, przygotowaniu aktualizacji i weryfikacji działania usług po wdrożeniu.

Zakres wsparcia może obejmować inwentaryzację urządzeń, ocenę dostępności interfejsów administracyjnych, dobór ścieżki aktualizacji, wykonanie kopii konfiguracji oraz kontrolę VPN, uwierzytelniania i monitoringu.

Korzystasz z rozwiązań Fortinet i chcesz sprawdzić, czy Twoje środowisko wymaga działania? Skontaktuj się z BOIT. Pomożemy określić zakres prac i zaplanować wdrożenie z uwzględnieniem ciągłości działania firmy.

Źródła

• Fortinet: komunikat o pakiecie aktualizacji bezpieczeństwa
• FortiGuard PSIRT: biuletyny bezpieczeństwa
• Fortinet Upgrade Path Tool: ścieżki aktualizacji FortiGate

Stan informacji: 22 października 2026 r. Przed wdrożeniem należy sprawdzić aktualne komunikaty producenta i dokumentację wybranej wersji.