FortiSIEM היא המערכת שאוספת את יומני האבטחה של הארגון למקום אחד, והיא יושבת עמוק בתוך הרשת הפנימית. לפי הרשומה, בגרסה 7.5.0 שלה יש חולשה שמאפשרת לתוקף לשלוח חבילות מעוצבות ולהריץ דרכן קוד או פקודות על המערכת, בלי שם משתמש וסיסמה. הציון הוא 9.8 מתוך 10.

מה החולשה?

כשתוכנה מקבלת מבחוץ שם של קובץ, היא אמורה להרכיב ממנו נתיב בתוך תיקייה אחת מוגדרת ולא לתת לו לצאת ממנה. אם הקלט מכיל רצף שמטפס תיקייה אחת למעלה, או נתיב מוחלט שמתחיל מתחילת הדיסק, והתוכנה אינה מסננת אותו, הקובץ שייפתח בסוף יכול להיות כל קובץ במערכת. לכשל הזה קוראים path traversal, מעבר בין תיקיות, והרשומה מסמנת אותו CWE-22.

מה שמייחד את הרשומה הזאת הוא התוצאה שהיא מתארת. מעבר בין תיקיות מסתיים בדרך כלל בקריאה של קובץ שלא היה אמור להיחשף, וכאן הרשומה אומרת במפורש שהתוצאה היא הרצת קוד או פקודות. איך בדיוק קריאת נתיב הופכת להרצה היא השאלה המעניינת, והרשומה אינה מפרטת אותה. היא כן נוקבת במה שמפעיל את הכשל: חבילות מעוצבות במיוחד.

הווקטור ברשומה משלים את התמונה. התקיפה מגיעה מהרשת, אינה דורשת פרטי אימות, אינה דורשת שמישהו בצד השני יפתח או יאשר משהו, ומורכבות התקיפה מסומנת כנמוכה. הפגיעה מסומנת כמלאה בסודיות, בשלמות ובזמינות. מכאן מגיע הציון.

אין כאן שלב שהתוקף צריך לעבור לפני.

מי מושפע?

הרשומה מציינת גרסה אחת: FortiSIEM 7.5.0.

זה אינו מוצר שמותקן על מחשב פרטי. מי שמריץ FortiSIEM הוא צוות אבטחה בארגון, או ספק שמנטר סביבות עבור לקוחות שלו. אם המוצר הזה לא מוכר לכם בשם, החולשה הזאת כמעט בוודאות אינה נוגעת לכם ישירות.

בארץ ציוד ותוכנה של Fortinet מוכרים היטב בארגונים, כך שהשאלה המעשית אינה אם קיימות התקנות כאלה בישראל, אלא אילו מהן עומדות בדיוק על 7.5.0. מי שמקבל ניטור כשירות מספק חיצוני יכול לשאול אותו את השאלה הזאת ישירות.

האם מנוצלת בפועל?

לא ידוע על ניצול. היא אינה רשומה בקטלוג ה-KEV, הרשימה שמנהלת סוכנות הסייבר האמריקאית CISA ומרכזת חולשות שידוע כי תוקפים מפעילים אותן בשטח.

כדאי לקרוא את זה כמו שזה כתוב: לא ידוע, ולא לא קיים. הרשומה פורסמה ב-NVD ב-13 באוקטובר 2026, וסטטוס כזה הוא בדיוק מה שהבדיקה היומית של הקטלוג עשויה להפוך.

ויש פרט אחד ברשימת המקורות ששווה לשים לב אליו. לצד הודעת היצרן מופיע שם מאגר קוד ציבורי ב-GitHub שנושא את מספר החולשה. כלומר הידע איך לגשת אליה אינו נשאר אצל מי שגילה אותה.

מה עושים?

בררו קודם באיזו גרסה אתם. המספר מופיע בממשק הניהול של FortiSIEM, ואם המערכת הוקמה על ידי ספק, הוא יידע לומר אותו מיד. הגרסה שהרשומה מסמנת היא 7.5.0 בדיוק.

את הגרסה המתוקנת פרסם היצרן בהודעת האבטחה שלו, FG-IR-26-180. שם מופיע לאיזה build לעבור. הרשומה ב-NVD עצמה אינה נוקבת במספר הגרסה שמתקנת, ולכן שווה לקחת אותו מההודעה ולא ממקום אחר.

עד שהעדכון מותקן, צמצמו מי יכול לדבר עם המערכת בכלל. החולשה נדרשת גישה מהרשת ואינה נדרשת פרטי אימות, כך שכל הגבלה על הכתובות שמורשות להתחבר ל-appliance מקטינה את החשיפה בפועל.

ואם ההתקנה שלכם נגישה מהאינטרנט, זה הדבר הראשון לשנות, לפני העדכון ובלי קשר אליו. מערכת ניטור פנימית אינה צריכה להיות פתוחה לעולם.