ثغرة CVE-2026-121529 في الواجهة البرمجية المحلية لبرنامج FortiClient من Fortinet، بتقييم 9.1 على سلم CVSS. وتصفها الشركة بأنها خطأ في التحقق من المصدر (CWE-346) قد يمكن مهاجماً غير مصرح له من تنفيذ شيفرة أو أوامر عن بعد، وتقول إن الاستغلال يتطلب تفاعل الضحية.
وتحدد النشرة الرسمية للثغرة من Fortinet نوع الهجوم بأنه دون مصادقة، أي أن المهاجم لا يحتاج إلى حساب على الجهاز المستهدف.
وتتأثر ثلاثة منتجات من الفرعين 7.4 و7.2. فمن FortiClient Windows وFortiClient Windows PAM تتأثر الإصدارات من 7.4.0 إلى 7.4.7 ومن 7.2.0 إلى 7.2.14، ومن FortiClient Mac تتأثر الإصدارات من 7.4.0 إلى 7.4.7. أما الفرع 8.0 من الثلاثة، وFortiClient Mac 7.2، فتقول النشرة إنها غير متأثرة.
والإصلاح بالترقية: إلى 7.4.8 أو أحدث في الفرع 7.4، وإلى 7.2.15 أو أحدث في الفرع 7.2 لنسختي Windows وWindows PAM. ويسري الإصلاح 7.4.8 على FortiClient Mac أيضاً، أما فرعه 7.2 فغير متأثر أصلاً فلا إصلاح له في النشرة. وتذكر صفحة النشرة أن التصحيح الافتراضي (Virtual Patch) غير متاح، ولا تورد حلاً مؤقتاً، فالترقية هي المعالجة الوحيدة المعلنة.
وتنسب Fortinet اكتشاف الثغرة إلى Kevin Joensen من Baldur Security، وتقول إنه أبلغ عنها عبر الإفصاح المسؤول. وسبق أن غطت سايبركاست ثغرة حرجة في FortiClient EMS استغلت في هجمات فعلية، وهي ثغرة مختلفة عن هذه.
