Bulletins de Sécurité

Deux vulnérabilités critiques de type “Exécution de code” affectant les solutions FortiAuthenticator et FortiSandbox ont récemment été publiées par l’éditeur.

Le niveau de criticité initial de ces vulnérabilités est de 9.8 (score CVSSv3.1).

La solution FortiAuthenticator fournit des services de gestion des identités et des accès afin de vérifier que seuls les utilisateurs autorisés accèdent aux ressources et données sensibles au bon moment.

La solution FortiSandbox offre une protection contre les menaces émergentes.

- CVE-2026-26083 et CVE-2026-44277 : Deux vulnérabilités dans les solutions FortiSandbox et FortiAuthenticator pourraient permettre à un attaquant non authentifié d’exécuter du code ou des commandes non autorisées. L'attaquant n'a pas besoin d'identifiants valides pour exploiter ces vulnérabilités.

Une fois une vulnérabilité exploitée, l’attaquant aura ainsi accès à l’équipement. Il pourra donc interagir avec celui-ci.

L’exploitation de ces CVE pourrait permettre à l’attaquant à minima une compromission complète du système (exécution de commande). Cet accès pourrait permettre la perte du contrôle réseau (désactivation des politiques de sécurités, mouvement latéral), de l’exfiltration de données sensibles.

A l’heure actuelle, aucune trace d’exploitation par des groupes d’attaquants ou d’exploit public n’a été remonté.

Étant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre pour toute machine exposée sur Internet.