Ce qu’il faut retenir
Fortinet a publié un avis (FG-IR-26-267, CVE-2026-126253) sur une faiblesse des contrôles d'accès du service de routage OSPF de FortiOS et FortiSASE. Selon l'éditeur, une personne non authentifiée pourrait diffuser de fausses annonces de routage à l'aide d'une requête spécialement conçue. La gravité technique est jugée critique (score CVSS 9.3). Aucune exploitation active n'est connue à ce jour d'après la source. Des versions corrigées sont disponibles pour FortiOS, et pour FortiSASE selon la branche utilisée.
Qui est concerné ?
| Produit | FortiOS |
| Versions concernées | FortiOS 8.0 : 8.0.0 through 8.0.1 FortiOS 7.6 : 7.6.0 through 7.6.7 FortiOS 7.4 : 7.4.0 through 7.4.12 FortiOS 7.2 : 7.2.0 through 7.2.13 FortiSASE 26.3 : 26.3.1 FortiSASE 26.3 : 26.3.1_a FortiSASE 26.2 : 26.2 all versions FortiSASE 26.1 : 26.1 all versions FortiSASE 25.4 : 25.4 all versions FortiSASE 25.3 : 25.3 all versions FortiSASE 25.2 : 25.2 all versions FortiSASE 25.1.a : 25.1.a all versions FortiSASE 25.1 : 25.1 all versions |
| Type d’attaque | Unauthenticated |
| Source | Bulletin officiel Fortinet |
Les organisations utilisant FortiOS 7.2 (7.2.0 à 7.2.13), 7.4 (7.4.0 à 7.4.12), 7.6 (7.6.0 à 7.6.7) ou 8.0 (8.0.0 à 8.0.1), ainsi que FortiSASE 26.3.1, 26.3.1_a et toutes les versions des branches 26.2, 26.1, 25.4, 25.3, 25.2, 25.1.a et 25.1. L'exposition à Internet et l'usage effectif d'OSPF dans votre environnement : Information non précisée dans la source consultée.
Quel est le risque concret ?
Impact technique selon l'éditeur : un attaquant non authentifié pourrait diffuser des annonces de routage (LSA) via une requête spécialement conçue, sans avoir à s'identifier. Impact métier : les conséquences précises pour votre activité ne sont pas détaillées dans la source (Information non précisée dans la source consultée). Elles dépendent notamment de la place de ces équipements dans votre réseau, de l'usage d'OSPF et de l'accessibilité du service concerné. La gravité technique (critique) ne préjuge donc pas, à elle seule, de l'impact réel sur votre organisation.
Priorité de traitement
Justification : Le score CVSS de 9.3 (critique, confirmé par l'éditeur), l'absence d'authentification requise et le caractère central d'un pare-feu FortiOS justifient une planification rapide. Un correctif est disponible. Aucune exploitation active n'est connue et l'exposition Internet n'est pas précisée, ce qui ne justifie pas de qualifier la situation d'immédiate sans vérification préalable de votre configuration (notamment l'usage d'OSPF).
Que faut-il faire ?
- FortiOS 8.0 : mettre à niveau vers la version 8.0.2 ou supérieure.
- FortiOS 7.6 : mettre à niveau vers la version 7.6.8 ou supérieure.
- FortiOS 7.4 : mettre à niveau vers la version 7.4.13 ou supérieure.
- FortiOS 7.2 : mettre à niveau vers la version 7.2.14 ou supérieure.
- FortiSASE 26.3 (26.3.1 et 26.3.1_a) : Fortinet a corrigé le problème en version 26.3.2, aucune action n'est requise de la part des clients selon l'éditeur.
- FortiSASE 26.2, 26.1, 25.4, 25.3, 25.2, 25.1.a et 25.1 : migrer vers une version corrigée.
- Workaround officiel : Information non précisée dans la source consultée.
Recommandation Chrysalead
Identifier les équipements FortiOS et les déploiements FortiSASE concernés, vérifier la version en place et l'usage d'OSPF, puis planifier la mise à niveau vers la version corrigée dans une fenêtre de maintenance prioritaire. Consulter l'avis officiel FG-IR-26-267 sur https://fortiguard.fortinet.com/psirt/FG-IR-26-267 pour confirmer les versions applicables.
Détails techniques
| CVE | CVE-2026-126253 |
| FG-IR | FG-IR-26-267 |
| Produit | FortiOS |
| Sévérité officielle Fortinet | Critical |
| Versions affectées | FortiOS 8.0 : 8.0.0 through 8.0.1 FortiOS 7.6 : 7.6.0 through 7.6.7 FortiOS 7.4 : 7.4.0 through 7.4.12 FortiOS 7.2 : 7.2.0 through 7.2.13 FortiSASE 26.3 : 26.3.1 FortiSASE 26.3 : 26.3.1_a FortiSASE 26.2 : 26.2 all versions FortiSASE 26.1 : 26.1 all versions FortiSASE 25.4 : 25.4 all versions FortiSASE 25.3 : 25.3 all versions FortiSASE 25.2 : 25.2 all versions FortiSASE 25.1.a : 25.1.a all versions FortiSASE 25.1 : 25.1 all versions |
| Versions corrigées | FortiOS 8.0 : Upgrade to 8.0.2 or above FortiOS 7.6 : Upgrade to 7.6.8 or above FortiOS 7.4 : Upgrade to 7.4.13 or above FortiOS 7.2 : Upgrade to 7.2.14 or above FortiSASE 26.3 : Fortinet remediated this issue in 26.3.2 and hence customers do not need to perform any action. FortiSASE 26.3 : Fortinet remediated this issue in 26.3.2 and hence customers do not need to perform any action. FortiSASE 26.2 : Migrate to a fixed release FortiSASE 26.1 : Migrate to a fixed release FortiSASE 25.4 : Migrate to a fixed release FortiSASE 25.3 : Migrate to a fixed release FortiSASE 25.2 : Migrate to a fixed release FortiSASE 25.1.a : Migrate to a fixed release FortiSASE 25.1 : Migrate to a fixed release |
| Contournement (workaround) | Non précisé |
| Exploitation connue | No |
| Extrait de la source | An Authentication Bypass by Primary Weakness vulnerability [cwe-305] in FortiOS and FortiSASE ospf daemon may allow an unauthenticated attacker to broadcast LSA via specially crafted request |
- Contournement d'authentification
- Faille permettant d'accéder à une fonction ou à un service sans avoir à prouver son identité.
- OSPF
- Protocole de routage utilisé par les équipements réseau pour échanger entre eux les chemins permettant d'acheminer les données.
- LSA
- Message d'annonce échangé via OSPF, qui décrit l'état du réseau et les chemins disponibles.
- CVSS
- Échelle de 0 à 10 mesurant la gravité technique d'une vulnérabilité. Elle ne mesure pas à elle seule l'impact pour votre entreprise.
- Attaquant non authentifié
- Personne n'ayant ni compte ni identifiants sur le système visé.
- CWE-305
- Catégorie de faiblesse logicielle correspondant à un contournement de l'authentification par une faiblesse principale.
Analyse rédigée par Chrysalead à partir de l’avis officiel de l’éditeur, avec l’aide d’outils d’IA. Ces informations sont générales : consultez l’avis officiel et adaptez-les à votre environnement avant toute décision.