חולשה ב-FortiOS ובשלושה מוצרי Fortinet נוספים מאפשרת למי שמחזיק חשבון ניהול במערכת לכתוב ולמחוק קבצים שלא היה אמור לגעת בהם. הציון הוא 6.0 מתוך 10, נמוך יחסית לחולשה בציוד תקשורת, ובכל זאת היא נכנסה ב-16 באוקטובר 2026 לקטלוג החולשות שתוקפים מנצלים בפועל. הפער בין שני המספרים האלה הוא מה שצריך להבין כאן.
מה החולשה?
כשתוכנה מקבלת שם של קובץ לעבוד עליו, היא צריכה לוודא שהשם מצביע למקום שבו מותר לה לעבוד. אם היא אינה מוודאת, אפשר למסור לה שם שמכיל צעד אחורה בעץ התיקיות, ושוב אחורה, ולהגיע לקבצים אחרים לגמרי במערכת. לטכניקה הזאת קוראים Path Traversal, והסיווג הרשמי כאן הוא CWE-22.
במוצרי Fortinet הכשל יושב בפקודות מסוימות בשורת הפקודה של המערכת, ומה שהוא מאפשר אינו קריאה אלא כתיבה ומחיקה של קבצים לפי בחירת התוקף. הדירוג מספר את אותו סיפור: אין פגיעה בסודיות כלל, ויש פגיעה גבוהה בשלמות ובזמינות. התוקף אינו מוציא מידע מהמכשיר, הוא משנה אותו.
והנה התנאי שמסביר את הציון הנמוך. כדי להגיע לפקודות האלה צריך להיות מחובר למערכת עם פרופיל מנהל ועם הרשאות קריאה וכתיבה לפחות. זה אינו משהו שמפעילים מהאינטרנט נגד מכשיר זר, אלא צעד שבא אחרי שהגישה הושגה.
ובדיוק בגלל זה הכניסה לקטלוג משמעותית. חולשה שדורשת חשבון מנהל אינה נקודת הפריצה הראשונה, היא מה שעושים כשכבר בפנים. כשחולשה כזאת מופיעה ברשימת המנוצלות בפועל, הקריאה הסבירה היא שהיא משרתת שלב בשרשרת ארוכה יותר ולא מתקפה בפני עצמה. בין המקורות שמצורפים לרשומה יש ניתוח של Unit42 שעוסק בנוזקה שפועלת על ציוד Fortinet.
מי מושפע?
הרשומה מפרטת ארבעה קווי מוצר, ולכל אחד טווח גרסאות משלו. ב-FortiOS הטווח הוא מגרסה 6.4.0 ועד 7.4.9, וגם 7.6.0 עד 7.6.4, וכל גרסאות 7.0 ו-7.2 נמצאות בתוכו. ב-FortiProxy הטווח הוא מ-7.0.0 ועד 7.4.11, וגם 7.6.0 עד 7.6.4. ב-FortiSwitchManager מדובר בגרסאות 7.0.0 עד 7.0.6 ו-7.2.0 עד 7.2.7. ב-FortiPAM כל הגרסאות מ-1.0 ועד 1.6 בטווח, וגם 1.7.0.
לצד אלה מופיע ברשומה גם רכיב של Siemens, ה-RUGGEDCOM APE1808, שמריץ תוכנת Fortinet בתוכו, ולכן Siemens פרסמה עליו הודעה נפרדת. מי שמריץ בקרים כאלה בסביבה תעשייתית צריך לקרוא את שתי ההודעות ולא רק את זאת של Fortinet.
בישראל מוצרי Fortinet נפוצים מאוד, בארגונים גדולים ובעסקים קטנים כאחד, והם יושבים בדיוק בגבול שבין הרשת הפנימית ובין האינטרנט. מי שמושפע כאן הוא הארגון, ולגולש הפרטי אין מה לעשות, אלא אם חומת האש בעסק שלו היא Fortinet.
האם מנוצלת בפועל?
כן. ב-16 באוקטובר 2026 הוסיפה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV שלה, הרשימה שמרכזת חולשות שיש עליהן עדות לשימוש אמיתי של תוקפים, וקבעה מועד תיקון ב-19 באוקטובר 2026.
מה שכן, הרשומה עצמה פורסמה עוד באפריל 2026. כלומר התיקון זמין כבר חודשים, ומה שהשתנה באוקטובר הוא לא החולשה אלא הידיעה שמשתמשים בה. זאת הסיבה שכדאי לבדוק את הגרסה גם במכשיר שהוגדר מזמן ועובד בשקט מאז.
ההודעה של Fortinet על החולשה היא FG-IR-26-122.
מה עושים?
1. בדקו את הגרסה המדויקת של כל מוצר Fortinet שרץ אצלכם והשוו לטווחים שלמעלה. מספר הגרסה מופיע במסך הראשי של ממשק הניהול.
2. עדכנו לגרסת התיקון של הקו שאתם עליו: ב-FortiOS ל-7.4.10 או ל-7.6.5, ב-FortiProxy ל-7.4.12 או ל-7.6.5, ב-FortiSwitchManager ל-7.0.7 או ל-7.2.8, וב-FortiPAM ל-1.7.1.
3. מי שנמצא על קו שאין לו תיקון ברשומה, למשל FortiOS 7.0 או 7.2, FortiProxy 7.0 או 7.2, או FortiPAM 1.6 ומטה, צריך לעבור לקו נתמך. בטווחים האלה כל הגרסאות בתוך הקו נמצאות בבעיה, ואין גרסה מתוקנת שאפשר לעלות אליה בתוך אותו קו.
4. ומכיוון שהניצול מחייב חשבון ניהול, הקדישו חצי שעה גם לחשבונות עצמם. בדקו מי מוגדר עם הרשאות קריאה וכתיבה, בטלו חשבונות שאינם בשימוש, והחליפו את פרטי האימות של אלה שנשארים. אם תוקף כבר השיג חשבון מנהל במכשיר, העדכון לבדו אינו מוציא אותו משם.