Introduction
L’éditeur Fortinet a récemment corrigé une faille d’authentification dans son WAF (Web Application Firewall) FortiWeb – version 8.0.2 et antérieures. Cette vulnérabilité est déjà exploitée activement dans le monde réel et permet à des attaquants d’ajouter des comptes administrateurs sur des dispositifs vulnérables. Cette alerte concerne toute organisation utilisant FortiWeb, notamment dans des environnements critiques. Cet article a été conçu suite à notre veille technologique effectuée sur la plateforme TheHackerNews.
Contexte et découverte
Des chercheurs en sécurité ont observé que la vulnérabilité était exploitée « in-the-wild », c’est-à-dire en production, et pas seulement dans des laboratoires. watchTowr, spécialiste de l’intelligence-menace, a indiqué que « le produit FortiWeb de Fortinet » faisait l’objet d’attaques ciblées visant à créer des comptes administrateurs pour assurer une persistance.
Le fait que l’exploitation soit active et diffuse confère à cette vulnérabilité un niveau de gravité élevé pour les utilisateurs de FortiWeb.
Détails techniques de la vulnérabilité
- La version concernée est la 8.0.2 de FortiWeb (et probablement les versions antérieures).
- Le mécanisme d’exploitation vise un contournement d’authentification (« authentication bypass ») permettant à l’attaquant d’agir avec les privilèges d’un compte administrateur.
- Le payload repéré utilise une requête HTTP POST vers un chemin semblant exploiter une vulnérabilité de type « traversée de répertoires » :
/api/v2.0/cmdb/system/admin%3F/../../../../../cgi-bin/fwbcgi. - Une preuve de concept (PoC) a été reproduite, et un outil d’analyse a été publié pour vérifier les dispositifs vulnérables.
- Des comptes administrateurs générés par les attaquants ont été découverts, avec des identifiants typiques comme « Testpoint / AFT3$tH4ckmet0d4yaga!n ».
Impact & risques pour les organisations
L’impact est majeur : en obtenant un compte admin, l’attaquant peut prendre le contrôle complet du dispositif FortiWeb — ce qui englobe l’accès aux fonctions de gestion du trafic, aux configurations de sécurité, voire l’installation de portes dérobées (backdoors).
Le fait que l’exploitation soit « indiscriminée » suggère que tout appareil FortiWeb non patché est à haut risque.
Un autre acteur, Rapid7, a souligné que cet exploit pourrait correspondre à une « zero-day » mise en vente sur un forum clandestin, ce qui accroît l’urgence de remédier.
Recommandations pour la mitigation
- Vérifier la version de FortiWeb : si elle est antérieure à la 8.0.2, appliquer immédiatement le correctif.
- Analyser les logs et les nouveaux comptes administrateurs : repérer toute activité suspecte, tout nom de compte créé récemment ou toute configuration inédite.
- Restreindre l’accès aux interfaces d’administration (VPN, IP whitelisting, authentification forte).
- Surveiller en continu les dispositifs FortiWeb avec un SOC ou système de détection d’anomalies.
- Documenter et maintenir un plan d’intervention en cas de compromission : isolement du device, backup, restauration, revue post-incident.
Pourquoi cette vulnérabilité doit-elle être priorisée ?
- Elle est déjà exploitée en production.
- Le vecteur d’attaque permet une persistance totale via des comptes admin.
- L’éditeur n’avait pas encore publié de CVE au moment de l’article — ce qui peut ralentir la diffusion de l’alerte.
- La menace s’étend potentiellement à de nombreuses organisations utilisant FortiWeb, y compris PME, grandes entreprises, et infrastructures critiques.
- Avec un exploit déjà circulant, le « temps » est un facteur clé : plus le correctif est retardé, plus la probabilité d’être ciblé augmente.
Conclusion
En résumé, l’article de The Hacker News met en lumière une faille critique dans le WAF FortiWeb de Fortinet, qui permet déjà aux attaquants de créer des comptes administrateurs non autorisés. Le correctif existe (version 8.0.2) mais de nombreuses installations risquent encore d’être vulnérables. Toute organisation utilisant FortiWeb doit agir en priorité : mettre à jour, auditer, surveiller.
Pour le contenu de votre site WordPress, je recommande d’intégrer également un appel à l’action (CTA) clair — par exemple : « Vérifiez maintenant votre version FortiWeb et contactez votre team sécurité si votre appareil est antérieur à la 8.0.2 ». Cela améliore l’engagement tout en renforçant votre crédibilité.
