Ce qu’il faut retenir
Une faiblesse a été identifiée dans la façon dont FortiOS 7.6 (versions 7.6.0 à 7.6.6) vérifie le second facteur d'authentification (code à usage unique) des administrateurs authentifiés via un serveur RADIUS. Dans un cas précis, une personne disposant déjà d'un identifiant et d'un mot de passe valides pourrait se connecter à l'interface d'administration avec un code invalide. L'éditeur la classe en gravité moyenne (CVSS 5.9) et aucune exploitation active n'est connue. Un correctif existe (FortiOS 7.6.7 ou supérieur), ainsi qu'une mesure de contournement officielle.
Qui est concerné ?
| Produit | FortiOS |
| Versions concernées | FortiOS 7.6 : 7.6.0 through 7.6.6 |
| Type d’attaque | Authenticated |
| Source | Bulletin officiel Fortinet |
Les organisations utilisant FortiOS 7.6, versions 7.6.0 à 7.6.6, avec des comptes administrateurs de type « Remote Radius » protégés par une double authentification, lorsque le serveur RADIUS renvoie une réponse « Access-Challenge » supplémentaire après un code invalide. Les autres versions de FortiOS ne sont pas citées dans la source consultée. Le niveau d'exposition de l'interface d'administration à Internet : information non précisée dans la source consultée.
Quel est le risque concret ?
Techniquement, la gravité est moyenne : l'attaquant doit déjà connaître un identifiant et un mot de passe valides et disposer d'au moins des droits en lecture seule. Côté métier, le risque est que la double authentification ne joue plus son rôle de seconde barrière pour ces comptes : un mot de passe compromis suffirait alors pour accéder à l'interface d'administration du pare-feu. L'impact réel dépend des droits du compte concerné et de l'exposition de l'interface, information non précisée dans la source consultée.
Priorité de traitement
Justification : La gravité technique est moyenne (CVSS 5.9) et aucune exploitation active n'est connue, mais le produit est un équipement de sécurité en périphérie du réseau et la faille affaiblit la protection des comptes administrateurs. Un correctif officiel est disponible, ce qui rend la correction simple à planifier. L'exposition de l'interface d'administration n'est pas précisée : si elle est accessible depuis Internet, la priorité devrait être relevée.
Que faut-il faire ?
- Mettre à niveau FortiOS 7.6 vers la version 7.6.7 ou supérieure.
- À défaut de mise à jour immédiate, appliquer le contournement officiel : supprimer les comptes administrateurs de type Remote Radius liés au serveur RADIUS qui renvoie un message « Access-Challenge » supplémentaire lorsque le code de double authentification est invalide.
- Via l'interface graphique : aller dans System > Administrators et supprimer les comptes administrateurs de type Remote Radius concernés.
- Via la ligne de commande : utiliser « config system admin », puis « delete », puis « next » et « end ».
Recommandation Chrysalead
Identifier les équipements FortiOS 7.6.0 à 7.6.6 utilisant des administrateurs Remote Radius avec double authentification, vérifier que l'interface d'administration n'est pas exposée à Internet, puis planifier la mise à niveau vers la version 7.6.7 ou supérieure dans le prochain cycle de maintenance.
Détails techniques
| CVE | CVE-2026-121530 |
| FG-IR | FG-IR-26-195 |
| Produit | FortiOS |
| Sévérité officielle Fortinet | Medium |
| Versions affectées | FortiOS 7.6 : 7.6.0 through 7.6.6 |
| Versions corrigées | FortiOS 7.6 : Upgrade to 7.6.7 or above |
| Contournement (workaround) | Remove the Remote Radius Type Admin account linked to the RADIUS server that responds with an additional "Access-Challenge" message when the user fails to enter a valid two-factor authentication token.In the GUI: Navigate to System > Administrators and delete the Remote Radius Type administrator accounts.In the CLI: config system admindelete < Remote type administrator account >nextend |
| Exploitation connue | No |
| Extrait de la source | An Improper Authentication vulnerability [CWE-287] in the FortiOS Remote Radius Type Admin Two-Factor (TFA) Authentication may allow a remote authenticated attacker with at least read-only permission to log in to the FortiOS GUI with an invalid token after entering a valid username and password, in scenarios where the RADIUS server returns an additional "Access-Challenge" response following an invalid TFA token. |
- Double authentification (TFA)
- Méthode de connexion qui demande, en plus du mot de passe, un second élément comme un code temporaire, afin de limiter les risques en cas de vol du mot de passe.
- RADIUS
- Serveur centralisé qui vérifie l'identité des utilisateurs lorsqu'ils se connectent à un équipement ou à un réseau.
- Access-Challenge
- Réponse du serveur RADIUS qui demande une information supplémentaire à l'utilisateur avant d'accepter ou de refuser la connexion.
- Improper Authentication (CWE-287)
- Catégorie de faille où l'identité d'un utilisateur n'est pas vérifiée correctement, ce qui peut permettre un accès normalement refusé.
- CVSS
- Note de 0 à 10 qui mesure la gravité technique d'une faille. Elle ne reflète pas à elle seule l'impact sur l'activité de l'entreprise.
- Contournement (workaround)
- Mesure temporaire proposée par l'éditeur pour réduire le risque lorsque la mise à jour ne peut pas être appliquée tout de suite.
Analyse rédigée par Chrysalead à partir de l’avis officiel de l’éditeur, avec l’aide d’outils d’IA. Ces informations sont générales : consultez l’avis officiel et adaptez-les à votre environnement avant toute décision.