Fortinet Multiple Products Authentication Bypass Using an Alternate Path or Channel Vulnerability

NGHIÊM TRỌNG 9.8ĐANG BỊ KHAI THÁC (CISA KEV)CVE-2026-24858 · Công bố 27/01/2026 · cập nhật 17/06/2026

Fortinet Multiple Products Authentication Bypass Using an Alternate Path or Channel Vulnerability. Đang bị khai thác thực tế: CISA đưa lỗ hổng này vào danh mục Known Exploited Vulnerabilities ngày 27/01/2026. Hãy vá các hệ thống bị ảnh hưởng ngay.

Tóm tắt nhanh

CVE-2026-24858 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng fortianalyzer (fortinet), fortimanager (fortinet), fortinac-f (fortinet).
Đang bị khai thác thực tế: CISA đưa vào danh mục KEV ngày 27/01/2026.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 86.6%, cao hơn 99.7% các lỗ hổng khác.
Cách xử lý: cập nhật lên 7.4.10, 7.6.6 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
fortianalyzer fortinet	`≥ 7.0.0, ≤ 7.0.15≥ 7.2.0, ≤ 7.2.11≥ 7.4.0, < 7.4.10≥ 7.6.0, < 7.6.6`	`7.4.107.6.6`
fortimanager fortinet	`≥ 7.0.0, ≤ 7.0.15≥ 7.2.0, ≤ 7.2.11≥ 7.4.0, < 7.4.10≥ 7.6.0, < 7.6.6`	`7.4.107.6.6`
fortinac-f fortinet	`≥ 7.6.3, < 7.6.6`	`7.6.6`
fortiproxy fortinet	`≥ 7.0.0, ≤ 7.0.22≥ 7.2.0, ≤ 7.2.15≥ 7.4.0, ≤ 7.4.12≥ 7.6.0, ≤ 7.6.4`	Chưa có bản vá
fortiweb fortinet	`≥ 7.4.0, ≤ 7.4.11≥ 7.6.0, ≤ 7.6.6≥ 8.0.0, ≤ 8.0.3`	Chưa có bản vá

Mô tả

An Authentication Bypass Using an Alternate Path or Channel vulnerability [CWE-288] vulnerability in Fortinet FortiAnalyzer 7.6.0 through 7.6.5, FortiAnalyzer 7.4.0 through 7.4.9, FortiAnalyzer 7.2.0 through 7.2.11, FortiAnalyzer 7.0.0 through 7.0.15, FortiManager 7.6.0 through 7.6.5, FortiManager 7.4.0 through 7.4.9, FortiManager 7.2.0 through 7.2.11, FortiManager 7.0.0 through 7.0.15, FortiNAC-F 7.6.3 through 7.6.5, FortiOS 7.6.0 through 7.6.5, FortiOS 7.4.0 through 7.4.10, FortiOS 7.2.0 through 7.2.12, FortiOS 7.0.0 through 7.0.18, FortiProxy 7.6.0 through 7.6.4, FortiProxy 7.4.0 through 7.4.12, FortiProxy 7.2.0 through 7.2.15, FortiProxy 7.0.0 through 7.0.22, FortiWeb 8.0.0 through 8.0.3, FortiWeb 7.6.0 through 7.6.6, FortiWeb 7.4.0 through 7.4.11 may allow an attacker with a FortiCloud account and a registered device to log into other devices registered to other accounts, if FortiCloud SSO authentication is enabled on those devices.