Ce qu’il faut retenir
Une faiblesse a été identifiée dans la fonction de portail d'accès sans agent (ZTNA) de FortiOS et FortiProxy. Le portail ne vérifie pas correctement l'identité des sites vers lesquels il redirige les utilisateurs. Un attaquant distant, sans identifiant, pourrait alors s'interposer dans cette communication et l'intercepter ou la modifier. Fortinet n'indique aucune exploitation active connue à ce jour et propose un correctif avec la version 7.6.7 ou supérieure.
Qui est concerné ?
| Produit | FortiOS |
| Versions concernées | FortiOS 7.6 : 7.6.1 through 7.6.6 FortiProxy 7.6 : 7.6.2 through 7.6.6 |
| Type d’attaque | Unauthenticated |
| Source | Bulletin officiel Fortinet |
Les organisations utilisant FortiOS 7.6 (versions 7.6.1 à 7.6.6) ou FortiProxy 7.6 (versions 7.6.2 à 7.6.6) avec le portail ZTNA sans agent (Agentless ZTNA). Le niveau d'exposition à Internet de ces équipements : Information non précisée dans la source consultée.
Quel est le risque concret ?
Gravité technique : élevée (score CVSS 8.1, criticité officielle Fortinet : High). Un attaquant situé sur le trajet réseau entre le portail ZTNA et le site interne de destination pourrait intercepter ou altérer les échanges (attaque dite de l'homme du milieu). Impact métier : il dépend des applications accessibles via le portail et de la sensibilité des données qui y transitent, ce que la source ne précise pas. Aucune exploitation active n'est connue selon la source.
Priorité de traitement
Justification : Le score CVSS est élevé (8.1), la vulnérabilité est exploitable à distance sans authentification et un correctif officiel est disponible. En revanche, aucune exploitation active n'est connue et l'exposition Internet n'est pas précisée, ce qui ne justifie pas un traitement en urgence immédiate. Le niveau de priorité dépend de l'utilisation effective du portail ZTNA sans agent.
Que faut-il faire ?
- Mettre à jour FortiOS 7.6 vers la version 7.6.7 ou supérieure.
- Mettre à jour FortiProxy 7.6 vers la version 7.6.7 ou supérieure.
- Consulter l'avis officiel Fortinet FG-IR-26-174 : https://fortiguard.fortinet.com/psirt/FG-IR-26-174
Recommandation Chrysalead
Vérifier si le portail ZTNA sans agent est activé sur vos équipements FortiOS ou FortiProxy 7.6, puis planifier la mise à jour vers la version 7.6.7 ou supérieure dans les meilleurs délais. Aucun contournement officiel n'étant précisé, le correctif est la voie à privilégier.
Détails techniques
| CVE | CVE-2026-84393 |
| FG-IR | FG-IR-26-174 |
| Produit | FortiOS |
| Sévérité officielle Fortinet | High |
| Versions affectées | FortiOS 7.6 : 7.6.1 through 7.6.6 FortiProxy 7.6 : 7.6.2 through 7.6.6 |
| Versions corrigées | FortiOS 7.6 : Upgrade to 7.6.7 or above FortiProxy 7.6 : Upgrade to 7.6.7 or above |
| Contournement (workaround) | Non précisé |
| Exploitation connue | No |
| Extrait de la source | An improper certificate validation vulnerability [CWE-295] in FortiOS and FortiProxy Agentless ZTNA portal may allow a remote and unauthenticated attacker to perform a Man-in-the-Middle attack on the communication channel between the ZTNA portal and the backend destination website. |
- ZTNA (Zero Trust Network Access)
- Approche d'accès où chaque connexion à une application est vérifiée, plutôt que de faire confiance à tout utilisateur présent sur le réseau.
- Portail ZTNA sans agent (Agentless)
- Accès à des applications d'entreprise via un simple navigateur web, sans installer de logiciel sur le poste de l'utilisateur.
- Validation de certificat incorrecte (CWE-295)
- Le système ne contrôle pas correctement la carte d'identité numérique (certificat) d'un site, et peut donc se connecter à un faux site sans s'en apercevoir.
- Attaque de l'homme du milieu (Man-in-the-Middle)
- Un attaquant s'interpose discrètement entre deux systèmes qui communiquent pour lire ou modifier les échanges.
- CVSS
- Note de 0 à 10 mesurant la gravité technique d'une vulnérabilité. Elle ne reflète pas à elle seule l'impact réel sur l'entreprise.
Analyse rédigée par Chrysalead à partir de l’avis officiel de l’éditeur, avec l’aide d’outils d’IA. Ces informations sont générales : consultez l’avis officiel et adaptez-les à votre environnement avant toute décision.