Ce qu’il faut retenir
Fortinet a publié un avis (FG-IR-26-269, CVE-2026-126255) concernant une faille dans le service d'accès à distance sécurisé (SSH) de plusieurs de ses produits : FortiOS, FortiSASE, FortiProxy et FortiPAM. Cette faille pourrait permettre à une personne non authentifiée de contourner le contrôle d'identité en utilisant des identifiants spécialement construits. L'éditeur la classe « High » (score CVSS 7.4). Aucune exploitation active n'est connue à ce jour selon la source, et des versions corrigées sont disponibles pour FortiOS. Il convient de planifier la mise à jour des équipements concernés.
Qui est concerné ?
| Produit | FortiOS |
| Versions concernées | FortiOS 8.0 : 8.0.0 through 8.0.1 FortiOS 7.6 : 7.6.0 through 7.6.7 FortiOS 7.4 : 7.4.0 through 7.4.12 FortiOS 7.2 : 7.2.0 through 7.2.13 FortiPAM 1.6 : 1.6 all versions FortiPAM 1.5 : 1.5 all versions FortiPAM 1.4 : 1.4 all versions FortiPAM 1.3 : 1.3 all versions FortiPAM 1.2 : 1.2 all versions FortiPAM 1.1 : 1.1 all versions FortiPAM 1.0 : 1.0 all versions FortiSASE 26.3 : 26.3.1 FortiSASE 26.3 : 26.3.1_a FortiSASE 26.2 : 26.2 all versions FortiSASE 26.1 : 26.1 all versions FortiSASE 25.4 : 25.4 all versions FortiSASE 25.3 : 25.3 all versions FortiSASE 25.2 : 25.2 all versions FortiSASE 25.1.a : 25.1.a all versions FortiSASE 25.1 : 25.1 all versions |
| Type d’attaque | Unauthenticated |
| Source | Bulletin officiel Fortinet |
Sont concernés : FortiOS 8.0.0 à 8.0.1, 7.6.0 à 7.6.7, 7.4.0 à 7.4.12 et 7.2.0 à 7.2.13 ; toutes les versions de FortiPAM 1.0 à 1.6 ; FortiSASE 26.3.1, 26.3.1_a, ainsi que toutes les versions des branches 26.2, 26.1, 25.4, 25.3, 25.2, 25.1.a et 25.1. La description officielle mentionne aussi FortiProxy, mais aucune version FortiProxy n'est détaillée : Information non précisée dans la source consultée. Pour FortiSASE 26.3, Fortinet indique avoir déjà corrigé le problème en version 26.3.2, sans action requise de la part des clients.
Quel est le risque concret ?
Gravité technique : élevée (CVSS 7.4, « High » selon l'éditeur). La faille est exploitable sans compte valide et pourrait permettre de contourner l'authentification du service SSH. Impact métier : si un équipement concerné est accessible en SSH, un accès non autorisé à un équipement de sécurité ou d'accès privilégié pourrait en résulter, avec un risque pour la confidentialité et l'intégrité de la configuration. L'exposition réelle dépend de l'accessibilité du service SSH, point sur lequel l'information n'est pas précisée dans la source consultée. Aucune exploitation active n'est connue.
Priorité de traitement
Justification : La faille permet un contournement d'authentification sans compte préalable sur des équipements de sécurité et d'accès à distance, et des correctifs sont disponibles. En revanche, aucune exploitation active n'est connue et l'exposition Internet n'est pas précisée, ce qui justifie une mise à jour planifiée et rapide plutôt qu'une intervention en urgence.
Que faut-il faire ?
- FortiOS 8.0 : mettre à niveau vers 8.0.2 ou supérieur.
- FortiOS 7.6 : mettre à niveau vers 7.6.8 ou supérieur.
- FortiOS 7.4 : mettre à niveau vers 7.4.13 ou supérieur.
- FortiOS 7.2 : mettre à niveau vers 7.2.14 ou supérieur.
- FortiPAM 1.0 à 1.6 : migrer vers une version corrigée.
- FortiSASE 26.2, 26.1, 25.4, 25.3, 25.2, 25.1.a et 25.1 : migrer vers une version corrigée.
- FortiSASE 26.3 : aucune action requise, Fortinet ayant corrigé le problème en 26.3.2.
- Consulter l'avis officiel https://fortiguard.fortinet.com/psirt/FG-IR-26-269 pour les détails, notamment concernant FortiProxy.
Recommandation Chrysalead
Identifier les équipements Fortinet concernés et leur version, vérifier si le service SSH est accessible depuis Internet ou des réseaux non maîtrisés, puis planifier la mise à jour vers la version corrigée dans les meilleurs délais, en priorisant les équipements les plus exposés.
Détails techniques
| CVE | CVE-2026-126255 |
| FG-IR | FG-IR-26-269 |
| Produit | FortiOS |
| Sévérité officielle Fortinet | High |
| Versions affectées | FortiOS 8.0 : 8.0.0 through 8.0.1 FortiOS 7.6 : 7.6.0 through 7.6.7 FortiOS 7.4 : 7.4.0 through 7.4.12 FortiOS 7.2 : 7.2.0 through 7.2.13 FortiPAM 1.6 : 1.6 all versions FortiPAM 1.5 : 1.5 all versions FortiPAM 1.4 : 1.4 all versions FortiPAM 1.3 : 1.3 all versions FortiPAM 1.2 : 1.2 all versions FortiPAM 1.1 : 1.1 all versions FortiPAM 1.0 : 1.0 all versions FortiSASE 26.3 : 26.3.1 FortiSASE 26.3 : 26.3.1_a FortiSASE 26.2 : 26.2 all versions FortiSASE 26.1 : 26.1 all versions FortiSASE 25.4 : 25.4 all versions FortiSASE 25.3 : 25.3 all versions FortiSASE 25.2 : 25.2 all versions FortiSASE 25.1.a : 25.1.a all versions FortiSASE 25.1 : 25.1 all versions |
| Versions corrigées | FortiOS 8.0 : Upgrade to 8.0.2 or above FortiOS 7.6 : Upgrade to 7.6.8 or above FortiOS 7.4 : Upgrade to 7.4.13 or above FortiOS 7.2 : Upgrade to 7.2.14 or above FortiPAM 1.6 : Migrate to a fixed release FortiPAM 1.5 : Migrate to a fixed release FortiPAM 1.4 : Migrate to a fixed release FortiPAM 1.3 : Migrate to a fixed release FortiPAM 1.2 : Migrate to a fixed release FortiPAM 1.1 : Migrate to a fixed release FortiPAM 1.0 : Migrate to a fixed release FortiSASE 26.3 : Fortinet remediated this issue in 26.3.2 and hence customers do not need to perform any action. FortiSASE 26.3 : Fortinet remediated this issue in 26.3.2 and hence customers do not need to perform any action. FortiSASE 26.2 : Migrate to a fixed release FortiSASE 26.1 : Migrate to a fixed release FortiSASE 25.4 : Migrate to a fixed release FortiSASE 25.3 : Migrate to a fixed release FortiSASE 25.2 : Migrate to a fixed release FortiSASE 25.1.a : Migrate to a fixed release FortiSASE 25.1 : Migrate to a fixed release |
| Contournement (workaround) | Non précisé |
| Exploitation connue | No |
| Extrait de la source | A Path Traversal vulnerability [cwe-24] in FortiOS, FortiSASE, FortiProxy and FortiPam ssh daemon may allow an unauthenticated attacker to bypass authentication via specially crafted credentials. |
- SSH (sshd)
- Service permettant d'administrer un équipement à distance de manière sécurisée. « sshd » est le programme qui reçoit ces connexions.
- Contournement d'authentification
- Situation où une personne parvient à se connecter sans fournir d'identifiants valides.
- Path Traversal (CWE-24)
- Type de faille où des données spécialement construites permettent d'atteindre des éléments qui devraient rester inaccessibles.
- CVSS
- Note de 0 à 10 mesurant la gravité technique d'une faille. Elle ne reflète pas à elle seule l'impact réel sur l'entreprise.
- Non authentifié
- L'attaquant n'a pas besoin de disposer d'un compte ou d'identifiants valides pour tenter d'exploiter la faille.
Analyse rédigée par Chrysalead à partir de l’avis officiel de l’éditeur, avec l’aide d’outils d’IA. Ces informations sont générales : consultez l’avis officiel et adaptez-les à votre environnement avant toute décision.