Ce qu’il faut retenir
Fortinet a publié un avis de sécurité de criticité « Critical » (score CVSS 9.6) concernant le système FortiOS et le service FortiSASE. La faille concerne le composant qui gère l'échange d'informations de routage (BGP) entre équipements réseau. Un voisin iBGP déjà configuré pourrait envoyer des données malformées à l'ensemble des routeurs connectés. Selon la source, aucune exploitation active n'est connue à ce jour et des versions corrigées sont disponibles.
Qui est concerné ?
| Produit | FortiOS |
| Versions concernées | FortiOS 8.0 : 8.0.0 through 8.0.1 FortiOS 7.6 : 7.6.0 through 7.6.7 FortiOS 7.4 : 7.4.0 through 7.4.12 FortiOS 7.2 : 7.2.0 through 7.2.13 FortiSASE 26.3 : 26.3.1 FortiSASE 26.3 : 26.3.1_a FortiSASE 26.2 : 26.2 all versions FortiSASE 26.1 : 26.1 all versions FortiSASE 25.4 : 25.4 all versions FortiSASE 25.3 : 25.3 all versions FortiSASE 25.2 : 25.2 all versions FortiSASE 25.1.a : 25.1.a all versions FortiSASE 25.1 : 25.1 all versions |
| Type d’attaque | Authenticated |
| Source | Bulletin officiel Fortinet |
Les organisations utilisant FortiOS dans les versions 8.0.0 à 8.0.1, 7.6.0 à 7.6.7, 7.4.0 à 7.4.12 ou 7.2.0 à 7.2.13, ainsi que FortiSASE dans les versions 26.3.1, 26.3.1_a, 26.2, 26.1, 25.4, 25.3, 25.2, 25.1.a et 25.1 (toutes versions pour les branches indiquées « all versions »). Pour FortiSASE 26.3, Fortinet indique avoir corrigé le problème en version 26.3.2, sans action requise de la part des clients. L'exposition à Internet n'est pas précisée : Information non précisée dans la source consultée.
Quel est le risque concret ?
Gravité technique : le score de 9.6 est très élevé et la criticité officielle est « Critical ». La faille est une erreur de troncature numérique (une valeur numérique est mal découpée lors de son traitement), ce qui permettrait à un voisin iBGP configuré d'envoyer des attributs malformés à tous les routeurs connectés. Impact métier : la source ne détaille pas les conséquences précises. Elles pourraient toucher la disponibilité ou la fiabilité du routage réseau, mais ce point n'est pas confirmé : Information non précisée dans la source consultée. L'attaque nécessite d'être authentifié (voisin iBGP configuré) et aucune exploitation active n'est connue.
Priorité de traitement
Justification : Le score de 9.6 et la criticité officielle « Critical » justifient une prise en charge rapide, et des correctifs sont disponibles. Aucune exploitation active n'est connue et l'attaque requiert un accès authentifié en tant que voisin iBGP configuré, ce qui limite la probabilité d'exploitation. L'exposition à Internet n'est pas précisée. Ces éléments ne justifient pas un traitement en urgence immédiate, mais le sujet ne doit pas être reporté.
Que faut-il faire ?
- FortiOS 8.0 : mettre à niveau vers la version 8.0.2 ou supérieure.
- FortiOS 7.6 : mettre à niveau vers la version 7.6.8 ou supérieure.
- FortiOS 7.4 : mettre à niveau vers la version 7.4.13 ou supérieure.
- FortiOS 7.2 : mettre à niveau vers la version 7.2.14 ou supérieure.
- FortiSASE 26.3 : aucune action requise, Fortinet a corrigé le problème en version 26.3.2.
- FortiSASE 26.2, 26.1, 25.4, 25.3, 25.2, 25.1.a et 25.1 : migrer vers une version corrigée.
Recommandation Chrysalead
Identifier les équipements FortiOS et les services FortiSASE concernés, vérifier l'usage du routage BGP et la liste des voisins iBGP configurés, puis planifier la mise à niveau vers la version corrigée correspondante dans les meilleurs délais. Consulter l'avis officiel FG-IR-26-268 pour les détails de migration FortiSASE.
Détails techniques
| CVE | CVE-2026-126254 |
| FG-IR | FG-IR-26-268 |
| Produit | FortiOS |
| Sévérité officielle Fortinet | Critical |
| Versions affectées | FortiOS 8.0 : 8.0.0 through 8.0.1 FortiOS 7.6 : 7.6.0 through 7.6.7 FortiOS 7.4 : 7.4.0 through 7.4.12 FortiOS 7.2 : 7.2.0 through 7.2.13 FortiSASE 26.3 : 26.3.1 FortiSASE 26.3 : 26.3.1_a FortiSASE 26.2 : 26.2 all versions FortiSASE 26.1 : 26.1 all versions FortiSASE 25.4 : 25.4 all versions FortiSASE 25.3 : 25.3 all versions FortiSASE 25.2 : 25.2 all versions FortiSASE 25.1.a : 25.1.a all versions FortiSASE 25.1 : 25.1 all versions |
| Versions corrigées | FortiOS 8.0 : Upgrade to 8.0.2 or above FortiOS 7.6 : Upgrade to 7.6.8 or above FortiOS 7.4 : Upgrade to 7.4.13 or above FortiOS 7.2 : Upgrade to 7.2.14 or above FortiSASE 26.3 : Fortinet remediated this issue in 26.3.2 and hence customers do not need to perform any action. FortiSASE 26.3 : Fortinet remediated this issue in 26.3.2 and hence customers do not need to perform any action. FortiSASE 26.2 : Migrate to a fixed release FortiSASE 26.1 : Migrate to a fixed release FortiSASE 25.4 : Migrate to a fixed release FortiSASE 25.3 : Migrate to a fixed release FortiSASE 25.2 : Migrate to a fixed release FortiSASE 25.1.a : Migrate to a fixed release FortiSASE 25.1 : Migrate to a fixed release |
| Contournement (workaround) | Non précisé |
| Exploitation connue | No |
| Extrait de la source | A Numeric Truncation Error vulnerability [cwe-197] in FortiOS and FortiSASE bgp daemon may allow a configured ibgp neighbor to send malicious/malformed attributes to all connected routers via a specially crafted request |
- BGP / iBGP
- Protocole qui permet aux routeurs de s'échanger les informations nécessaires pour acheminer le trafic réseau. iBGP désigne l'échange entre routeurs d'une même organisation.
- Erreur de troncature numérique (CWE-197)
- Erreur de programmation où un nombre est coupé ou raccourci lors de son traitement, ce qui peut produire un comportement inattendu du logiciel.
- Voisin iBGP configuré
- Routeur explicitement déclaré comme partenaire d'échange de routage. L'attaque suppose donc un accès de ce type, ce qui la rend moins accessible à un tiers anonyme.
- Score CVSS
- Note de 0 à 10 mesurant la gravité technique d'une faille. Elle ne reflète pas à elle seule l'impact sur l'activité de l'entreprise.
- FortiSASE
- Service de sécurité Fortinet délivré dans le cloud pour protéger les utilisateurs et leurs accès, où qu'ils se trouvent.
Analyse rédigée par Chrysalead à partir de l’avis officiel de l’éditeur, avec l’aide d’outils d’IA. Ces informations sont générales : consultez l’avis officiel et adaptez-les à votre environnement avant toute décision.