نشرت Fortinet في 10 نوفمبر 2026 نشرات أمنية تفصيلية عن ثماني ثغرات حرجة بتقييمات CVSS 3.1 بين 9.0 و9.8 في FortiManager وFortiAnalyzer وFortiOS. وتقول الشركة في نشراتها إن فريق أمن منتجاتها اكتشف الثغرات داخلياً، دون رصد استغلال فعلي لها، وتنسب اكتشافها كلها إلى استخدام نموذج Claude Mythos من Anthropic.
أربع من الثغرات في FortiManager وFortiAnalyzer يمكن بلوغها دون مصادقة. أولاها CVE-2026-126170 بتقييم 9.8، وهي حقن في واجهة JSON-RPC قد يتيح لمهاجم بلا مصادقة تنفيذ شيفرة أو أوامر عبر طلب HTTP مصمم، ولا تظهر إلا إذا كانت الواجهة مفعلة وهي معطلة افتراضياً. والثانية CVE-2026-126262 بتقييم 9.3، وهي حقن SQL في FortiAnalyzer وفي FortiManager حين تفعل ميزات FortiAnalyzer فيه، وقد يتيح لمن يبلغ منفذ OFTP تنفيذ شيفرة أو أوامر.
والثالثة CVE-2026-126261 بتقييم 9.0 في خدمة FGFM بـ FortiManager، وفيها خلل تفويض يسبق التحقق من كلمة مرور التسجيل، وقد يتيح لمن يصل إلى منفذها تنفيذ شيفرة أو أوامر عبر حزم FGFM مصممة. والرابعة CVE-2026-126260 بتقييم 9.0، وهي ثغرة تزوير طلبات من جهة الخادم (SSRF) عبر منفذ OFTP في FortiAnalyzer وFortiManager بميزاته.
أبرز أخبار الأمن السيبراني في السعودية والعالم، كل أسبوع في بريدك.
الخامسة CVE-2026-126229 بتقييم 9.1، وهي أيضاً في FortiManager وFortiAnalyzer: تجاوز تفويض في خدمة dmserver يتيح لمسؤول مصادق الوصول إلى نطاقات VDOM أخرى عبر طلبات HTTP مصممة. ولا إصلاح لها في الفرع 7.2 من المنتجين، وتطلب Fortinet من مستخدميه الانتقال إلى إصدار مصلح.
وفي FortiOS ثلاث ثغرات. CVE-2026-126254 بتقييم 9.6 اقتطاع رقمي في خدمة BGP، وتصنف Fortinet أثره حجب خدمة. وCVE-2026-126253 بتقييم 9.3 تجاوز مصادقة في خدمة OSPF قد يتيح لمهاجم بلا مصادقة بث إعلانات حالة الروابط (LSA) عبر طلب مصمم. وCVE-2026-126259 بتقييم 9.0 غياب مصادقة لدالة حرجة في حزم HA، قد يتيح لمهاجم بلا مصادقة تنفيذ أوامر بصلاحيات مدير أعلى، في أجهزة تعمل بـ HA FGSP مع مزامنة الإعدادات المستقلة أو بالتوسع التلقائي autoscale.
صدرت الإصدارات المصلحة في 22 أكتوبر بحسب تدوينة Fortinet: FortiOS 8.0.2 و7.6.8 و7.4.13 و7.2.14، وFortiManager وFortiAnalyzer 8.0.2 و7.6.8 و7.4.12 و7.2.13. والاستثناءان واجهة JSON-RPC في الفرع 8.0 من المنتجين، إذ تنتظر الإصدار 8.0.3 الذي لم يصدر، وحلها المؤقت تعطيل الوصول إليها بالأمر rpc-permit none في ملف تعريف المسؤول، وثغرة dmserver في الفرع 7.2 المذكورة أعلاه. وسبق أن غطينا تلك الإصدارات في خبر إصلاحات حرجة لـ FortiOS وFortiManager وFortiAnalyzer.
وتقول Fortinet في التدوينة نفسها إنها أخرت نشر التفاصيل إلى 10 نوفمبر ليرتب العملاء ترقياتهم قبل أن تتاح المعلومات التقنية، وتحذر من أن أدوات الذكاء الاصطناعي قد تسرع الهندسة العكسية للتصحيحات وبناء الاستغلالات. ولمن يتعذر عليه التحديث الفوري تنصح بقصر وصول المسؤولين عبر HTTPS وSSH على عناوين موثوقة أو تعطيله على الواجهات الخارجية، وإبقاء FortiManager خارج الإنترنت، وتفعيل المصادقة متعددة العوامل لحسابات المسؤولين، وتقول إن هذه الخطوات لا تغني عن الترقية.
