Cybersécurité

FortiManager et FortiAnalyzer : une faille à 9,8 sans authentification, la console de vos pare-feu en première ligne

12 novembre 2026 Alexandre FAUVEL 4 min de lecture Actualité 1 vue

Il y a une dizaine de jours, je vous parlais de la console Stormshield qui pilote vos pare-feu et qui devait passer en 3.9.4. Cette semaine, c’est au tour de Fortinet, et la liste est plus copieuse : le 10 novembre, l’éditeur a publié une série d’avis critiques qui touchent FortiManager, FortiAnalyzer et FortiOS. Le plus sérieux est noté 9,8 et ne demande aucune authentification. Autant dire que ce n’est pas le genre de bulletin qu’on laisse mûrir jusqu’à la prochaine maintenance.

Ce que Fortinet a annoncé

CVE-2026-126170 (FG-IR-26-219), CVSS 9,8 : une injection dans l’API JSON-RPC de FortiManager et FortiAnalyzer. Une requête HTTP forgée peut permettre à un attaquant non authentifié d’exécuter du code ou des commandes. Sont concernées les branches 7.6 (jusqu’à 7.6.7, corrigé en 7.6.8) et 8.0 (8.0.0 à 8.0.2, correctif 8.0.3 annoncé mais pas encore publié). Les branches 7.2 et 7.4 ne sont pas touchées par celle-ci.
CVE-2026-126261 (FG-IR-26-275), CVSS 9,0 : une faille du protocole FGFM, celui qui relie les FortiGate à leur FortiManager. Un attaquant qui atteint ce port peut obtenir l’exécution de commandes avant même la vérification du mot de passe d’enregistrement. Corrigé en 7.2.9, 7.4.6, 7.6.8 et 8.0.1. Aucun contournement n’est proposé.
D’autres failles critiques visent, selon la presse spécialisée, le protocole OFTP de FortiAnalyzer (injection SQL et SSRF sans authentification) ainsi que FortiOS lui-même : traitement BGP, authentification OSPF, cloisonnement des VDOM et synchronisation de haute disponibilité (FGSP). Les versions corrigées annoncées varient d’une source à l’autre : référez-vous aux avis FortiGuard pour votre branche.

Bonne nouvelle relative : Fortinet n’a pas connaissance d’exploitation à ce jour. Mais vu l’historique de la marque, où les failles de FortiManager ont déjà été exploitées dans le passé quelques jours après leur publication, je ne parierais pas un café sur la durée de ce répit. 🙂

Pourquoi ça concerne la sûreté et la GTB

Sur beaucoup de sites tertiaires et industriels, le FortiGate n’est pas qu’un pare-feu informatique : c’est lui qui cloisonne le VLAN vidéo, le réseau du contrôle d’accès, celui de la GTB, et qui porte le VPN de télémaintenance des prestataires. Le FortiManager, lui, pousse les règles sur tout le parc. Compromettre la console, c’est donc pouvoir réécrire la segmentation de dizaines de sites d’un coup. Toute la belle séparation entre réseau bureautique et réseaux techniques que l’on défend en conception tient alors à… une mise à jour.

Même chose pour les failles de routage de FortiOS : sur un site multi-bâtiments ou un réseau de collectivité où les FortiGate échangent leurs routes en OSPF ou en BGP, une fausse annonce de route suffit pour détourner ou couper un flux vidéo ou une liaison de supervision. Ce n’est pas une attaque « depuis Internet », il faut être voisin, mais c’est exactement le scénario d’un intrus déjà entré par un équipement mal protégé.

Ce que je ferais cette semaine

Inventoriez vos versions de FortiManager, FortiAnalyzer et FortiOS, y compris les instances cloud et celles que gère un infogérant pour vous.
Si l’API JSON n’est pas indispensable, désactivez-la sur les profils d’administration (set rpc-permit none), surtout tant que la 8.0.3 n’est pas disponible. Elle est désactivée par défaut : vérifiez que personne ne l’a activée « pour un script ».
Ne laissez jamais les ports FGFM (TCP 541) et OFTP accessibles depuis Internet : les restrictions d’accès à l’interface d’administration ne les couvrent pas.
Planifiez les mises à jour de FortiOS en commençant par les équipements qui font du routage dynamique ou de la haute disponibilité, après sauvegarde des configurations.
Surveillez les modifications de configuration inattendues dans les journaux de la console : une règle ajoutée la nuit vers le VLAN caméras doit déclencher une alerte.

Mon avis

Ce qui me rassure, c’est que ces failles ont été trouvées en interne par Fortinet et publiées avec des correctifs, plutôt que découvertes après une vague d’attaques. Ce qui me fait tiquer, c’est la répétition : huit failles critiques le même jour, dont une sans correctif disponible sur la branche la plus récente. Pour un intégrateur, la leçon reste la même : une console de gestion centralisée est un formidable outil… et un point unique de compromission. Elle se range dans un réseau d’administration dédié, jamais exposée, avec une politique de mise à jour écrite au contrat de maintenance. Et si votre prestataire de sûreté accède à vos réseaux techniques à travers ce FortiGate, posez-lui la question de ses propres mises à jour.

Sources

Commentaires

Aucun commentaire pour l'instant : lancez la discussion.