Vulnérabilités Fortinet activement exploitées (KEV)

CVE-2025-61624 — Fortinet, plusieurs produits : vulnérabilité de traversée de répertoires

Produit : Fortinet Multiple Products
Ajoutée au catalogue : 16 octobre 2026
Échéance CISA : 19 octobre 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-22
Gravité : CVSS 6,5 (moyenne)
Probabilité d’exploitation (EPSS) : 1 %

FortiOS, FortiPAM, FortiProxy et FortiSwitchManager contiennent une vulnérabilité de traversée de répertoires qui pourrait permettre à un attaquant authentifié disposant d'un profil administrateur et d'au moins des permissions de lecture-écriture d'écrire ou de supprimer des fichiers arbitraires via des commandes CLI spécifiques.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · fortiguard.fortinet.com

CVE-2026-104286 — Fortinet FortiMail : vulnérabilité de traversée de répertoires Critique

Produit : Fortinet FortiMail
Ajoutée au catalogue : 1 octobre 2026
Échéance CISA : 4 octobre 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-22, CWE-158
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 5 %

Fortinet FortiMail contient une vulnérabilité de traversée de répertoires et une neutralisation incorrecte du caractère NULL ou du byte NULL qui pourrait permettre à un attaquant non authentifié d'écrire des fichiers arbitraires sur le système sous-jacent via des requêtes HTTP ou HTTPS élaborées.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · fortiguard.fortinet.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-25249 — Fortinet, plusieurs produits : dépassement de tampon dans le tas Critique

Produit : Fortinet Multiple Products
Ajoutée au catalogue : 9 septembre 2026
Échéance CISA : 12 septembre 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-122, CWE-787
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 4 %

Fortinet FortiOS, FortiSwitchManager et FortiSASE contiennent une vulnérabilité de dépassement de tampon dans le tas qui permet à un attaquant d'exécuter du code ou des commandes non autorisés via des paquets spécialement conçus.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · fortiguard.fortinet.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-68686 — Fortinet FortiOS : exposition d'informations sensibles à un acteur non autorisé

Produit : Fortinet FortiOS
Ajoutée au catalogue : 27 juillet 2026
Échéance CISA : 10 août 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-200
Gravité : CVSS 5,9 (moyenne)
Probabilité d’exploitation (EPSS) : 29 %
Technologie : FortiOS / FortiGate

Fortinet FortiOS contient une vulnérabilité d'exposition d'informations sensibles à un acteur non autorisé. Cela pourrait permettre à un attaquant distant non authentifié de contourner le correctif développé pour le mécanisme de persistance de liens symboliques observé dans certains cas post-exploitation, via des requêtes HTTP spécialement conçues. Un attaquant devrait d'abord avoir compromis le produit via une autre vulnérabilité, au niveau du système de fichiers.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · fortiguard.fortinet.com

CVE-2026-39808 — Fortinet FortiSandbox : injection de commandes système Critique

Produit : Fortinet FortiSandbox
Ajoutée au catalogue : 16 juillet 2026
Échéance CISA : 19 juillet 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-78
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 93 %

Fortinet FortiSandbox contient une vulnérabilité d'injection de commandes système qui pourrait permettre à un attaquant non authentifié d'exécuter du code ou des commandes non autorisés via des requêtes HTTP élaborées.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · fortiguard.fortinet.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-25089 — Fortinet FortiSandbox : injection de commandes système Critique

Produit : Fortinet FortiSandbox
Ajoutée au catalogue : 16 juillet 2026
Échéance CISA : 19 juillet 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-78
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 76 %

Fortinet FortiSandbox, FortiSandbox Cloud et FortiSandbox PaaS contiennent une vulnérabilité d'injection de commandes système qui permet à un attaquant non authentifié d'exécuter des commandes non autorisées via des requêtes HTTP spécialement élaborées.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · fortiguard.fortinet.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-21643 — Fortinet FortiClient EMS : vulnérabilité d'injection SQL Critique

Produit : Fortinet FortiClient EMS
Ajoutée au catalogue : 13 avril 2026
Échéance CISA : 16 avril 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-89
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 98 %

Fortinet FortiClient EMS contient une vulnérabilité d'injection SQL qui pourrait permettre à un attaquant non authentifié d'exécuter du code ou des commandes non autorisés via des requêtes HTTP spécialement élaborées.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · fortiguard.fortinet.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-35616 — Fortinet FortiClient EMS : vulnérabilité de contrôle d'accès incorrect Critique

Produit : Fortinet FortiClient EMS
Ajoutée au catalogue : 6 avril 2026
Échéance CISA : 9 avril 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-284
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 94 %

Fortinet FortiClient EMS contient une vulnérabilité de contrôle d'accès incorrect qui pourrait permettre à un attaquant non authentifié d'exécuter du code ou des commandes non autorisés via des requêtes spécialement conçues.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2026-24858 — Fortinet, plusieurs produits : contournement de l'authentification via un chemin ou un canal alternatif Critique

Produit : Fortinet Multiple Products
Ajoutée au catalogue : 27 janvier 2026
Échéance CISA : 30 janvier 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-288
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 87 %

Fortinet FortiAnalyzer, FortiManager, FortiOS et FortiProxy contiennent un contournement de l'authentification utilisant un chemin ou un canal alternatif qui pourrait permettre à un attaquant disposant d'un compte FortiCloud et d'un appareil enregistré de se connecter à d'autres appareils enregistrés à d'autres comptes, si l'authentification SSO FortiCloud est activée sur ces appareils.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · fortinet.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-59718 — Fortinet, plusieurs produits : vérification incorrecte de la signature cryptographique Critique

Produit : Fortinet Multiple Products
Ajoutée au catalogue : 16 décembre 2025
Échéance CISA : 23 décembre 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-347
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 68 %

Fortinet FortiOS, FortiSwitchMaster, FortiProxy et FortiWeb contiennent une vulnérabilité de vérification incorrecte de la signature cryptographique qui pourrait permettre à un attaquant non authentifié de contourner l'authentification de connexion SSO FortiCloud via un message SAML fabriqué. Veuillez noter que CVE-2025-59719 concerne le même problème et est mentionné dans l'avis de l'éditeur. Assurez-vous d'appliquer tous les correctifs mentionnés dans l'avis.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · fortiguard.fortinet.com · docs.fortinet.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-58034 — Fortinet FortiWeb : injection de commandes système

Produit : Fortinet FortiWeb
Ajoutée au catalogue : 18 novembre 2025
Échéance CISA : 25 novembre 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-78
Gravité : CVSS 7,2 (élevée)
Probabilité d’exploitation (EPSS) : 55 %
Technologie : FortiOS / FortiGate

Fortinet FortiWeb contient une vulnérabilité d'injection de commandes système qui pourrait permettre à un attaquant authentifié d'exécuter du code non autorisé sur le système sous-jacent via des requêtes HTTP ou des commandes CLI élaborées.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · fortiguard.fortinet.com

CVE-2025-64446 — Fortinet FortiWeb : vulnérabilité de traversée de répertoires Critique

Produit : Fortinet FortiWeb
Ajoutée au catalogue : 14 novembre 2025
Échéance CISA : 21 novembre 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-23
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 91 %
Technologie : FortiOS / FortiGate

Fortinet FortiWeb contient une vulnérabilité de traversée de répertoires relative qui pourrait permettre à un attaquant non authentifié d'exécuter des commandes administratives sur le système via des requêtes HTTP ou HTTPS spécialement conçues.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · fortiguard.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-25257 — Fortinet FortiWeb : vulnérabilité d'injection SQL Critique

Produit : Fortinet FortiWeb
Ajoutée au catalogue : 18 juillet 2025
Échéance CISA : 8 août 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-89
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 100 %
Technologie : FortiOS / FortiGate

Fortinet FortiWeb contient une vulnérabilité d'injection SQL qui pourrait permettre à un attaquant non authentifié d'exécuter du code ou des commandes SQL non autorisés via des requêtes HTTP ou HTTPS élaborées.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · fortiguard.fortinet.com

Fiche détaillée : versions, références, chronologie →

CVE-2019-6693 — Fortinet FortiOS : utilisation d'identifiants codés en dur

Produit : Fortinet FortiOS
Ajoutée au catalogue : 25 juin 2025
Échéance CISA : 16 juillet 2025
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-798
Gravité : CVSS 6,5 (moyenne)
Probabilité d’exploitation (EPSS) : 7 %
Technologie : FortiOS / FortiGate

Fortinet FortiOS contient une vulnérabilité d'utilisation d'identifiants codés en dur qui pourrait permettre à un attaquant de chiffrer des données sensibles dans le fichier de sauvegarde de configuration FortiOS en connaissant la clé codée en dur.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · fortiguard.com

CVE-2025-32756 — Fortinet, plusieurs produits : dépassement de tampon basé sur la pile Critique

Produit : Fortinet Multiple Products
Ajoutée au catalogue : 14 mai 2025
Échéance CISA : 4 juin 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-124
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 31 %

Fortinet FortiFone, FortiVoice, FortiNDR et FortiMail contiennent une vulnérabilité de dépassement de tampon basé sur la pile qui pourrait permettre à un attaquant distant non authentifié d'exécuter du code ou des commandes arbitraires via des requêtes HTTP spécialement conçues.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · fortiguard.fortinet.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-24472 — Fortinet, FortiOS et FortiProxy : vulnérabilité de contournement d'authentification

Produit : Fortinet FortiOS and FortiProxy
Ajoutée au catalogue : 18 mars 2025
Échéance CISA : 8 avril 2025
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-288
Gravité : CVSS 8,1 (élevée)
Probabilité d’exploitation (EPSS) : 7 %
Technologie : FortiOS / FortiGate

Fortinet FortiOS et FortiProxy contiennent une vulnérabilité de contournement d'authentification qui permet à un attaquant distant d'obtenir des privilèges de super-administrateur via des requêtes proxy CSF spécialement conçues.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · fortiguard.fortinet.com

CVE-2024-55591 — Fortinet, FortiOS et FortiProxy : vulnérabilité de contournement d'authentification Critique

Produit : Fortinet FortiOS and FortiProxy
Ajoutée au catalogue : 14 janvier 2025
Échéance CISA : 21 janvier 2025
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-288
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 94 %
Technologie : FortiOS / FortiGate

Fortinet FortiOS et FortiProxy contiennent une vulnérabilité de contournement d'authentification qui pourrait permettre à un attaquant distant non authentifié d'obtenir des privilèges super-admin via des requêtes élaborées au module websocket Node.js.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · fortiguard.fortinet.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-47575 — Fortinet FortiManager : vulnérabilité d'authentification manquante

Produit : Fortinet FortiManager
Ajoutée au catalogue : 23 octobre 2024
Échéance CISA : 13 novembre 2024
Rançongiciels : pas d’usage connu
Faiblesse : CWE-306
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 95 %

Fortinet FortiManager contient une vulnérabilité d'authentification manquante dans le démon fgfmd qui permet à un attaquant distant et non authentifié d'exécuter du code ou des commandes arbitraires via des requêtes spécialement conçues.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · fortiguard.fortinet.com

CVE-2024-23113 — Fortinet, plusieurs produits : vulnérabilité de chaîne de format

Produit : Fortinet Multiple Products
Ajoutée au catalogue : 9 octobre 2024
Échéance CISA : 30 octobre 2024
Rançongiciels : pas d’usage connu
Faiblesse : CWE-134
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 62 %

Fortinet FortiOS, FortiPAM, FortiProxy et FortiWeb contiennent une vulnérabilité de chaîne de format qui permet à un attaquant distant et non authentifié d'exécuter du code ou des commandes arbitraires via des requêtes spécialement conçues.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · fortiguard.com

CVE-2023-48788 — Fortinet FortiClient EMS : vulnérabilité d'injection SQL Critique

Produit : Fortinet FortiClient EMS
Ajoutée au catalogue : 25 mars 2024
Échéance CISA : 15 avril 2024
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-89
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 98 %

Fortinet FortiClient EMS contient une vulnérabilité d'injection SQL qui permet à un attaquant non authentifié d'exécuter des commandes en tant que SYSTEM via des requêtes spécifiquement élaborées.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · fortiguard.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-21762 — Fortinet FortiOS : vulnérabilité d'écriture hors limites

Produit : Fortinet FortiOS
Ajoutée au catalogue : 9 février 2024
Échéance CISA : 16 février 2024
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-787
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 85 %
Technologie : FortiOS / FortiGate

Fortinet FortiOS contient une vulnérabilité d'écriture hors limites qui permet à un attaquant distant non authentifié d'exécuter du code ou des commandes via des requêtes HTTP spécialement élaborées.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · fortiguard.fortinet.com

CVE-2023-27997 — Fortinet, FortiOS et FortiProxy SSL-VPN : dépassement de tampon dans le tas

Produit : Fortinet FortiOS and FortiProxy SSL-VPN
Ajoutée au catalogue : 13 juin 2023
Échéance CISA : 4 juillet 2023
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-122
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 86 %
Technologie : FortiOS / FortiGate

Fortinet FortiOS et FortiProxy SSL-VPN contiennent une vulnérabilité de dépassement de tampon dans le tas qui peut permettre à un attaquant distant non authentifié d'exécuter du code ou des commandes via des requêtes spécialement élaborées.