Fortinet a publié en août 2026 une série de correctifs de sécurité destinés à traiter plusieurs vulnérabilités touchant différents produits de son portefeuille. Selon l’avis publié par GBHackers, cette vague de correctifs comprend notamment CVE-2026-26035 pour FortiWeb et CVE-2026-70465 pour FortiClient Windows.
Les deux failles présentent toutefois des mécanismes d’exploitation différents. Elles ne doivent donc pas être considérées comme une seule chaîne d’attaque.
Les administrateurs peuvent consulter les informations de sécurité publiées par FortiGuard PSIRT afin de vérifier les versions concernées et les correctifs disponibles.
CVE-2026-26035 : un contournement d’authentification dans FortiWeb
La première vulnérabilité, CVE-2026-26035, concerne le processus d’authentification administrateur de FortiWeb. Elle est classée CWE-287, correspondant à une mauvaise implémentation de l’authentification.
Dans une configuration particulière utilisant l’authentification administrateur Remote RADIUS, l’activation de l’option wildcard peut créer une situation dans laquelle un attaquant distant non authentifié est capable de se connecter à l’interface d’administration graphique ou en ligne de commande avec des identifiants arbitraires.
Le problème est particulièrement important pour les environnements dans lesquels cette option a été activée avec une configuration de groupe d’administrateurs permettant la correspondance avec des utilisateurs distants.
Fortinet précise que l’option wildcard n’est pas activée par défaut. Cependant, lorsqu’elle est activée dans une configuration vulnérable, elle peut permettre à des identifiants qui ne devraient normalement pas être acceptés de franchir le processus d’authentification.
Versions FortiWeb concernées
Les versions suivantes sont indiquées comme vulnérables :
- FortiWeb 8.0.0 à 8.0.2
- FortiWeb 7.6.0 à 7.6.6
- FortiWeb 7.4.0 à 7.4.11
- FortiWeb 7.2.0 à 7.2.12
- FortiWeb 7.0.0 à 7.0.12
Les versions corrigées sont :
- FortiWeb 8.0.3
- FortiWeb 7.6.7
- FortiWeb 7.4.12
- FortiWeb 7.2.13
Ces informations sont également cohérentes avec le rôle de FortiWeb en tant que pare-feu applicatif destiné à protéger les applications Web et les API.
Pour les organisations qui ne peuvent pas appliquer immédiatement le correctif, la désactivation de l’option wildcard constitue une mesure compensatoire recommandée dans l’analyse publiée.
Les équipes peuvent également consulter la documentation officielle de Fortinet sur FortiWeb pour mieux comprendre le rôle du produit dans l’architecture de sécurité.
CVE-2026-70465 : FortiClient Windows exposé à une exécution de code
La deuxième vulnérabilité, CVE-2026-70465, affecte FortiClient pour Windows.
Contrairement à CVE-2026-26035, cette faille repose sur un dépassement de tampon, classé CWE-120. Une exploitation réussie pourrait permettre à un attaquant non authentifié d’exécuter du code arbitraire dans le contexte du processus FortiClient concerné.
Cependant, l’exploitation nécessite une condition supplémentaire importante : l’attaquant doit être capable de modifier ou de fabriquer les réponses DNS envoyées à la machine ciblée.
Cela peut notamment devenir pertinent dans des scénarios où un attaquant contrôle ou compromet un résolveur DNS, intercepte les communications DNS ou se trouve sur un réseau permettant des attaques de type spoofing.
L’exploitation ne se limite donc pas à envoyer simplement une requête malveillante à FortiClient. La capacité à influencer la résolution DNS constitue une condition essentielle de l’attaque.
Versions FortiClient Windows concernées
Selon les informations publiées, les versions concernées comprennent :
- FortiClient Windows 7.2.0 à 7.2.11
- FortiClient Windows 7.4.0 à 7.4.3
Les administrateurs doivent donc vérifier précisément les versions installées et migrer vers une version non vulnérable.
La page officielle de Fortinet FortiClient permet également de consulter les informations relatives au produit et à ses fonctions de sécurité des terminaux.
Pourquoi ces deux vulnérabilités doivent être prises au sérieux
Ces vulnérabilités touchent deux niveaux différents de l’infrastructure.
Avec FortiWeb, le risque concerne principalement l’accès aux interfaces d’administration. Une compromission d’un équipement utilisé pour protéger les applications Web pourrait donner à un attaquant un contrôle important sur la configuration de sécurité.
Avec FortiClient, le risque se situe directement au niveau du poste Windows. Une exécution de code réussie pourrait constituer un point de départ pour d’autres actions malveillantes dans le système d’information.
Dans un environnement d’entreprise, la compromission d’un poste ou d’une interface d’administration peut ensuite être utilisée pour tenter de récupérer des informations sensibles, maintenir un accès ou progresser vers d’autres ressources.
Il est donc essentiel de considérer ces correctifs dans le cadre plus large de la gestion des vulnérabilités et de la réduction de la surface d’attaque.
Fortinet recommande de vérifier les configurations
Les organisations utilisant FortiWeb doivent en priorité vérifier leur configuration d’authentification Remote RADIUS, notamment l’utilisation de l’option wildcard.
Pour FortiClient Windows, les équipes doivent contrôler les versions installées et renforcer la sécurité de l’infrastructure DNS afin de réduire les possibilités de manipulation des réponses DNS.
Fortinet recommande par ailleurs aux administrateurs de maintenir leurs produits à jour et de surveiller régulièrement les avis de sécurité disponibles sur son portail PSIRT. La plateforme FortiGuard permet notamment de rechercher les vulnérabilités associées aux différentes versions des produits Fortinet.
Consulter les avis de sécurité FortiGuard
Une nouvelle alerte pour les infrastructures Fortinet
Cette publication intervient alors que les équipements et logiciels Fortinet restent des composants largement utilisés dans les infrastructures d’entreprise.
Plus tôt en 2026, Fortinet avait également communiqué sur des campagnes visant des équipements Fortinet et recommandé notamment l’utilisation de mots de passe robustes, l’activation de la MFA, la fermeture des accès d’administration exposés à Internet et la vérification des configurations.
Les équipes de sécurité doivent donc éviter de considérer l’application d’un correctif comme une action isolée. Une mise à jour doit idéalement être accompagnée d’une vérification des journaux, des comptes administrateurs, des configurations d’accès et des éventuelles modifications inhabituelles.
Que doivent faire les administrateurs ?
Les organisations utilisant les produits concernés devraient :
- Identifier les versions actuellement déployées de FortiWeb et FortiClient Windows.
- Comparer ces versions avec les versions corrigées publiées par Fortinet.
- Mettre à jour FortiWeb vers une version corrigée lorsque cela est possible.
- Mettre à jour FortiClient Windows sur les postes concernés.
- Vérifier la configuration Remote RADIUS de FortiWeb et désactiver l’option wildcard si elle n’est pas indispensable.
- Renforcer la sécurité DNS et utiliser des résolveurs de confiance afin de réduire les risques de manipulation des réponses.
- Surveiller les journaux d’administration afin d’identifier d’éventuelles connexions inhabituelles.
- Contrôler les comptes et privilèges administrateurs après la mise à jour.
- Vérifier les équipements exposés à Internet et limiter autant que possible les interfaces d’administration accessibles depuis l’extérieur.
Pour les environnements fortement exposés, la surveillance des événements de sécurité doit également être renforcée afin de détecter rapidement toute activité anormale.
Conclusion
Les vulnérabilités CVE-2026-26035 et CVE-2026-70465 montrent une nouvelle fois l’importance de maintenir les composants de sécurité à jour.
La première peut affecter le mécanisme d’authentification administrateur de FortiWeb dans une configuration spécifique, tandis que la seconde expose FortiClient Windows à une potentielle exécution de code lorsque l’attaquant est capable de manipuler les réponses DNS.
Même si les conditions d’exploitation diffèrent, les conséquences potentielles justifient une vérification rapide des environnements concernés.
Les administrateurs sont donc invités à consulter régulièrement les avis de FortiGuard, identifier les versions vulnérables et appliquer les correctifs disponibles sans attendre.
Source : GbHackers
