ב-9 בספטמבר 2026 נכנסה החולשה לקטלוג החולשות המנוצלות בפועל, שמונה חודשים אחרי שהרשומה פורסמה. היא יושבת בטיפול של FortiOS במנות רשת: מנה שנבנתה במיוחד גורמת לגלישה של חוצץ בזיכרון, והתוצאה היא הרצה של קוד או פקודות שהתוקף בחר, בלי שנדרש ממנו להזדהות. הציון 8.1.

מה החולשה?

תוכנה שמקבלת מנה מהרשת מעתיקה את תוכנה לאזור זיכרון שהיא הקצתה מראש בגודל מסוים. אם כמות מה שמועתק אינה נבדקת מול הגודל שהוקצה, העודף נמשך אל הזיכרון שמעבר לגבול, ושם יושבים נתונים ומצביעים שהתוכנית עצמה מסתמכת עליהם. תוקף ששולט במדויק במה שגולש החוצה יכול לשנות אותם כך שהתוכנית תפנה להריץ את מה שהוא הכין. כשהאזור שנפגע הוא זה שהתוכנה מקצה במהלך הריצה, קוראים לזה גלישת חוצץ באזור ההקצאה הדינמית, ה-heap.

הציון 8.1 ולא גבוה יותר בגלל מדד אחד: מורכבות התקיפה מסומנת כגבוהה. כלומר נדרשים תנאים שאינם בשליטת התוקף כדי שהניצול יעבוד. כל שאר המדדים דווקא נוטים לחומרה: הגישה מרחוק, אין דרישת הרשאות, אין צורך בפעולה של משתמש, ושלושת מדדי הנזק גבוהים.

מנה שמגיעה מהרשת היא הדבר שהמכשיר הזה קיים כדי לטפל בו.

מי מושפע?

הרשומה מפרטת גרסאות לפי ענף, וזה החלק המעשי.

ב-FortiOS, ענף 6.4 על כל גרסאותיו וענף 7.0 עד 7.0.17 מתוקנים ב-7.0.18. ענף 7.2 עד 7.2.11 מתוקן ב-7.2.12. ענף 7.4 עד 7.4.8 מתוקן ב-7.4.9. ענף 7.6 עד 7.6.3 מתוקן ב-7.6.4.

ב-FortiSwitchManager, גרסאות 7.0.0 עד 7.0.5 מתוקנות ב-7.0.6, וגרסאות 7.2.0 עד 7.2.6 מתוקנות ב-7.2.7. ברשומה מופיעות גם שתי גרסאות של FortiSASE, 25.1.39 ו-25.1.51.

ויש כאן נספח שקל לפספס. הרשומה כוללת גם את מוצרי RUGGEDCOM APE1808 של Siemens, ו-Siemens פרסמה עליה הודעת אבטחה נפרדת משלה. זה מעביר את החולשה מעולם רשתות המשרד גם לסביבות תעשייתיות, שבהן לוח הזמנים לעדכון נראה אחרת לגמרי.

בישראל מכשירי Fortinet נמצאים בקצה הרשת של ארגונים מכל הגדלים, ולכן שאלת הענף והגרסה כאן היא שאלה מעשית ולא תיאורטית.

האם מנוצלת בפועל?

כן. ב-9 בספטמבר 2026 צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, הרשימה שמרכזת חולשות שיש עליהן ראיה לניצול בשטח, עם מועד טיפול לגופים הפדרליים בארצות הברית ב-12 בספטמבר 2026. הרשומה ב-NVD פורסמה ב-13 בינואר 2026.

בין המקורות מופיע גם ניתוח של SoCRadar שעוסק בחולשה הזאת.

מה עושים?

עדכנו לגרסה המתקנת של הענף שלכם, לפי הרשימה שלמעלה. הודעת האבטחה של Fortinet, FG-IR-25-084, היא המסמך הרשמי.

אם אתם על ענף 6.4, שימו לב שהתשובה שונה. הרשומה מסמנת את כל גרסאות 6.4 כחשופות, והגרסה המתקנת הראשונה נמצאת כבר בענף 7.0. כלומר זה אינו עדכון קטן בתוך הענף אלא מעבר לענף אחר, וצריך לתכנן אותו ולא לדחות אותו.

מפעילי RUGGEDCOM APE1808 צריכים לעבוד לפי ההודעה של Siemens, שמתייחסת למוצר שלהם ולא לגרסאות FortiOS הכלליות.