Ce qu’il faut retenir
Fortinet a publié un avis (CVE-2026-23573) sur une faille de type XSS dans la fonction SSL-VPN sans client (« agentless ») de FortiOS, ainsi que de FortiProxy, FortiPAM et FortiSwitch-Manager. Elle pourrait permettre à un utilisateur distant, au moyen de requêtes spécialement construites, d'exécuter du code ou des commandes. Fortinet la classe en gravité moyenne (CVSS 6.1). Aucune exploitation active n'est connue dans la source consultée, et des versions corrigées existent. L'exposition réelle dépend de votre configuration, qui n'est pas précisée dans la source.
Qui est concerné ?
| Produit | FortiOS |
| Versions concernées | FortiOS 7.6 : 7.6.0 through 7.6.6 FortiOS 7.4 : 7.4 all versions FortiOS 7.2 : 7.2 all versions FortiPAM 1.8 : 1.8.0 FortiPAM 1.7 : 1.7 all versions FortiPAM 1.6 : 1.6 all versions FortiPAM 1.5 : 1.5 all versions FortiPAM 1.4 : 1.4 all versions FortiPAM 1.3 : 1.3 all versions FortiPAM 1.2 : 1.2 all versions FortiPAM 1.1 : 1.1 all versions FortiPAM 1.0 : 1.0 all versions FortiProxy 7.4 : 7.4.0 through 7.4.3 FortiProxy 7.2 : 7.2.0 through 7.2.9 |
| Type d’attaque | Unauthenticated |
| Source | Bulletin officiel Fortinet |
Les organisations utilisant FortiOS 7.6 (versions 7.6.0 à 7.6.6), FortiOS 7.4 et 7.2 (toutes versions), FortiPAM 1.0 à 1.8.0, FortiProxy 7.4.0 à 7.4.3 ou FortiProxy 7.2.0 à 7.2.9. La description officielle mentionne aussi FortiSwitch-Manager, mais aucune version n'est détaillée : Information non précisée dans la source consultée. La source ne précise pas si la fonction SSL-VPN sans client doit être activée pour être concerné : Information non précisée dans la source consultée.
Quel est le risque concret ?
Gravité technique : moyenne (CVSS 6.1, criticité officielle Fortinet : Medium). Une requête piégée pourrait amener le portail à exécuter du code ou des commandes non prévus. Impact métier : il dépend de l'exposition du portail SSL-VPN et du rôle de l'équipement dans votre accès distant, ce que la source ne précise pas (exposition : Information non précisée dans la source consultée).
Priorité de traitement
Justification : La gravité est moyenne, aucune exploitation active n'est connue et des correctifs existent. En revanche, l'exposition à Internet du portail SSL-VPN n'est pas précisée, et la source se contredit sur la nécessité d'être authentifié. Il faut donc vérifier si la fonction SSL-VPN sans client est activée et accessible depuis l'extérieur avant de fixer l'urgence. Si c'est le cas, la mise à jour peut être planifiée à court terme.
Que faut-il faire ?
- FortiOS 7.6 : passer à la version 7.6.7 ou supérieure.
- FortiOS 7.4 et 7.2 : migrer vers une version corrigée (numéro de version précis non indiqué dans la source consultée).
- FortiPAM 1.8 : passer à la version 1.8.1 ou supérieure.
- FortiPAM 1.0 à 1.7 : migrer vers une version corrigée (numéro de version précis non indiqué dans la source consultée).
- FortiProxy 7.4 : passer à la version 7.4.4 ou supérieure.
- FortiProxy 7.2 : passer à la version 7.2.10 ou supérieure.
- Aucun contournement (workaround) officiel n'est précisé dans la source consultée : consulter l'avis FG-IR-26-150 pour les détails.
Recommandation Chrysalead
Identifier les équipements Fortinet concernés et leur version, vérifier si le SSL-VPN sans client est activé et accessible depuis Internet, puis planifier la mise à jour vers une version corrigée dans le cycle de maintenance habituel, plus tôt si le portail est exposé.
Détails techniques
| CVE | CVE-2026-23573 |
| FG-IR | FG-IR-26-150 |
| Produit | FortiOS |
| Sévérité officielle Fortinet | Medium |
| Versions affectées | FortiOS 7.6 : 7.6.0 through 7.6.6 FortiOS 7.4 : 7.4 all versions FortiOS 7.2 : 7.2 all versions FortiPAM 1.8 : 1.8.0 FortiPAM 1.7 : 1.7 all versions FortiPAM 1.6 : 1.6 all versions FortiPAM 1.5 : 1.5 all versions FortiPAM 1.4 : 1.4 all versions FortiPAM 1.3 : 1.3 all versions FortiPAM 1.2 : 1.2 all versions FortiPAM 1.1 : 1.1 all versions FortiPAM 1.0 : 1.0 all versions FortiProxy 7.4 : 7.4.0 through 7.4.3 FortiProxy 7.2 : 7.2.0 through 7.2.9 |
| Versions corrigées | FortiOS 7.6 : Upgrade to 7.6.7 or above FortiOS 7.4 : Migrate to a fixed release FortiOS 7.2 : Migrate to a fixed release FortiPAM 1.8 : Upgrade to 1.8.1 or above FortiPAM 1.7 : Migrate to a fixed release FortiPAM 1.6 : Migrate to a fixed release FortiPAM 1.5 : Migrate to a fixed release FortiPAM 1.4 : Migrate to a fixed release FortiPAM 1.3 : Migrate to a fixed release FortiPAM 1.2 : Migrate to a fixed release FortiPAM 1.1 : Migrate to a fixed release FortiPAM 1.0 : Migrate to a fixed release FortiProxy 7.4 : Upgrade to 7.4.4 or above FortiProxy 7.2 : Upgrade to 7.2.10 or above |
| Contournement (workaround) | Non précisé |
| Exploitation connue | No |
| Extrait de la source | An Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability [CWE-79] in FortiOS, FortiProxy, FortiPAM and FortiSwitch-Manager Agentless SSL-VPN may allow an authenticated remote user to execute code or commands via crafted requests. |
- XSS (Cross-site Scripting)
- Faille permettant d'introduire du code malveillant dans une page web, qui s'exécute ensuite dans le navigateur de la personne qui la consulte.
- Reflected XSS (XSS réfléchi)
- Variante où le code malveillant est contenu dans une requête ou un lien piégé et renvoyé immédiatement par le site, sans être stocké durablement.
- SSL-VPN sans client (agentless)
- Accès distant sécurisé via un simple navigateur web, sans installer de logiciel sur le poste de l'utilisateur.
- CVSS
- Note de 0 à 10 qui mesure la gravité technique d'une faille. Elle ne reflète pas à elle seule l'impact sur votre activité.
- CVE
- Identifiant public unique attribué à une vulnérabilité pour la référencer sans ambiguïté.
- CWE-79
- Catégorie standard désignant les failles de type Cross-site Scripting.
- Workaround
- Mesure temporaire de contournement permettant de réduire le risque en attendant l'application du correctif.
Cette alerte est une synthèse éditoriale rédigée par Chrysalead IT Services à partir de l’avis officiel Fortinet. Les informations peuvent évoluer : vérifiez toujours l’avis officiel de l’éditeur (lien dans la section Sources) avant toute intervention sur vos équipements.