Ce qu’il faut retenir
Fortinet a publié un avis concernant une faille dans FortiOS, le système qui fait fonctionner ses pare-feux. Dans certaines configurations précises du serveur d'annuaire (LDAP), une personne non authentifiée pourrait contourner le contrôle d'identité sur le VPN sans agent (Agentless VPN) ou sur une politique FSSO. La gravité technique est jugée élevée (CVSS 7.5), mais aucune exploitation active n'est connue à ce jour. Un correctif est disponible avec la version 7.6.5 ou supérieure.
Qui est concerné ?
| Produit | FortiOS |
| Versions concernées | FortiOS 7.6 : 7.6.0 through 7.6.4 |
| Type d’attaque | Unauthenticated |
| Source | Bulletin officiel Fortinet |
Les organisations utilisant FortiOS 7.6, versions 7.6.0 à 7.6.4, avec une politique Agentless VPN ou FSSO s'appuyant sur une authentification LDAP, et dont le serveur LDAP présente une configuration spécifique. Le détail de cette configuration n'est pas précisé ici : Information non precisee dans la source consultee.
Quel est le risque concret ?
Un attaquant sans identifiant pourrait, sous conditions, contourner l'authentification LDAP et obtenir un accès normalement réservé aux utilisateurs authentifiés. L'impact métier dépend de ce que ces politiques autorisent dans votre réseau (accès à des applications internes, à des données, etc.). L'exposition à Internet des équipements concernés est : Information non precisee dans la source consultee. Aucune exploitation active n'est connue selon la source.
Priorité de traitement
Justification : La gravité technique est élevée (CVSS 7.5), l'attaque ne nécessite pas d'authentification et un correctif officiel existe. En revanche, aucune exploitation active n'est connue et la faille requiert une configuration LDAP spécifique, ce qui limite le nombre de cas concernés. L'exposition Internet n'étant pas précisée, la priorité dépend de votre configuration réelle : une vérification rapide suivie d'une mise à jour planifiée est adaptée.
Que faut-il faire ?
- Mettre à jour FortiOS 7.6 vers la version 7.6.5 ou supérieure.
- Consulter l'avis officiel Fortinet FG-IR-25-1052 : https://fortiguard.fortinet.com/psirt/FG-IR-25-1052
Recommandation Chrysalead
Vérifier si vos pare-feux FortiOS sont en version 7.6.0 à 7.6.4 et s'ils utilisent un Agentless VPN ou une politique FSSO avec LDAP. Si oui, planifier rapidement la mise à jour vers la version 7.6.5 ou supérieure, pendant une fenêtre de maintenance adaptée.
Détails techniques
| CVE | CVE-2026-22153 |
| FG-IR | FG-IR-25-1052 |
| Produit | FortiOS |
| Sévérité officielle Fortinet | High |
| Versions affectées | FortiOS 7.6 : 7.6.0 through 7.6.4 |
| Versions corrigées | FortiOS 7.6 : Upgrade to 7.6.5 or above |
| Contournement (workaround) | Non précisé |
| Exploitation connue | No |
| Extrait de la source | An Authentication Bypass by Primary Weakness vulnerability [CWE-305] in FortiOS fnbamd may allow an unauthenticated attacker to bypass LDAP authentication of Agentless VPN or FSSO policy, under specific LDAP server configuration. |
- Contournement d'authentification
- Situation où une personne parvient à accéder à un système sans fournir correctement ses identifiants, en exploitant un défaut de vérification.
- LDAP
- Service d'annuaire centralisant les comptes des utilisateurs de l'entreprise et permettant de vérifier leurs identifiants.
- Agentless VPN
- Accès distant sécurisé qui ne nécessite pas d'installer un logiciel spécifique sur le poste de l'utilisateur.
- FSSO
- Fortinet Single Sign-On : mécanisme qui reconnaît automatiquement un utilisateur déjà connecté à l'annuaire de l'entreprise pour appliquer les règles du pare-feu.
- fnbamd
- Composant de FortiOS chargé de gérer l'authentification des utilisateurs.
- CVSS
- Note de 0 à 10 mesurant la gravité technique d'une faille. Elle ne reflète pas à elle seule l'impact réel sur votre activité.
Cette alerte est une synthèse éditoriale rédigée par Chrysalead IT Services à partir de l’avis officiel Fortinet. Les informations peuvent évoluer : vérifiez toujours l’avis officiel de l’éditeur (lien dans la section Sources) avant toute intervention sur vos équipements.