Fortinet 89 güvenlik bülteni yayımladı, 80'indeki açıkları Claude Mythos'la buldu

Fortinet, 10 Kasım’da ürünlerindeki açıklar için 89 güvenlik bülteni yayımladı. Bültenlerin 19’u kritik, 67’si yüksek, üçü orta önemde. En çok bülten FortiManager ve FortiAnalyzer, FortiMail ve FortiAuthenticator için yayımlandı. Fortinet bütün bültenlerde açıkların saldırılarda kullanıldığının bilinmediğini belirtiyor. Aşağıdaki puanlar Fortinet’in bültenlerindeki CVSS 3.1 puanları.

Claude Mythos ile bulunan açıklar

89 bültenin 80’inde açıkların Fortinet Ürün Güvenliği (Product Security) ekibindeki araştırmacılar tarafından, Fortinet’in “öncü yapay zekâ modeli” (frontier AI model) olarak tanımladığı Claude Mythos kullanılarak şirket içinde bulunduğu yazıyor. Bu bültenlerde Loic Pantano, Theo Leleu, David Maciejak, Chris Magistrado, Gwendal Guégniaud ve Sam Mckee gibi araştırmacıların adları geçiyor. 19 kritik bültenin 17’si bu 80 bülten arasında. Kalan iki kritik bültenden FortiClient’a ait olanda açığı şirket dışından bir araştırmacı bildirdi, FortiMail’e ait FG-IR-26-200’de ise açığın bir model adı verilmeden öncü yapay zekâ modelleri kullanılarak şirket içinde bulunduğu yazıyor.

En yüksek puanlı açık: CVE-2026-126170

Fortinet’e göre FortiAnalyzer, FortiManager, bunların Cloud sürümleri, FortiAnalyzer-BigData ve FortiSASE-Sovereign’in web arayüzündeki hatalı çıktı kodlama ya da kaçışlama (improper encoding or escaping of output) açığı, kimliği doğrulanmamış bir saldırganın özel hazırlanmış bir HTTP isteğiyle yetkisiz kod ya da komut çalıştırmasına izin verebiliyor. Bültenin başlığı açığı JRPC API’de JSON enjeksiyonu olarak tanımlıyor. Açığın CVSS 3.1 puanı 9.8.

Fortinet’e göre açık yalnızca JSON API etkin olduğunda bulunuyor ve JSON API varsayılan olarak kapalı. JSON API bir yönetici profilinde açıksa şu yapılandırmayla kapatılabiliyor:

config system admin profile
    edit <profile name>
        set rpc-permit none
end

Bültene göre etkilenen sürümler ve çözümler şöyle:

• FortiAnalyzer ve FortiManager 8.0.0 ile 8.0.2 arası: Düzeltme henüz yayımlanmayan 8.0.3’te. O zamana kadar geçici önlem uygulanabiliyor.
• FortiAnalyzer ve FortiManager 7.6.0 ile 7.6.7 arası: 7.6.8’e ya da sonrasına yükseltin.
• FortiAnalyzer Cloud ve FortiManager Cloud: 8.0.1 ile 8.0.2 arası için düzeltme henüz yayımlanmayan 8.0.3’te, 7.6.0 ile 7.6.7 arası için 7.6.8’de.
• FortiAnalyzer-BigData 7.6.0 ile 7.6.2 arası: Düzeltme henüz yayımlanmayan 7.6.3’te. O zamana kadar geçici önlem uygulanabiliyor.
• FortiSASE-Sovereign: 25, 25.3 ve 25.4 sürümlerinin hepsi etkileniyor ve düzeltilmiş bir sürüme geçilmesi gerekiyor. Fortinet’e göre açık henüz yayımlanmayan 26.2’de kapatıldı.

7.4 ve 7.2 dalları bu açıktan etkilenmiyor.

FortiAnalyzer, FortiManager ve FortiOS’taki diğer kritik açıklar

• CVE-2026-126254 (9.6), FG-IR-26-268: FortiOS ve FortiSASE’nin BGP servisinde sayısal kırpma (numeric truncation) hatası. Yapılandırılmış bir iBGP komşusu, özel hazırlanmış bir istekle bağlı bütün yönlendiricilere kötü amaçlı ya da bozuk öznitelikler gönderebiliyor. FortiOS düzeltmeleri 8.0.2, 7.6.8, 7.4.13 ve 7.2.14.
• CVE-2026-126253 (9.3), FG-IR-26-267: FortiOS ve FortiSASE’nin OSPF servisinde kimlik doğrulama atlatma. Kimliği doğrulanmamış bir saldırgan özel hazırlanmış bir istekle LSA yayınlayabiliyor. Bültenin CVSS puanlamasına göre saldırganın aynı ağ kesiminde (adjacent) olması gerekiyor. FortiOS düzeltmeleri 8.0.2, 7.6.8, 7.4.13 ve 7.2.14. 7.0 dalında 7.0.1 ile 7.0.19 arasındaki sürümler etkileniyor ve düzeltilmiş bir sürüme geçilmesi gerekiyor.
• CVE-2026-126262 (9.3), FG-IR-26-276: FortiAnalyzer’da ve FortiAnalyzer özellikleri açık FortiManager’da SQL enjeksiyonu. OFTP portuna erişebilen kimliği doğrulanmamış bir saldırgan, özel hazırlanmış OFTP paketleriyle sistemde kod ya da komut çalıştırabiliyor. FortiAnalyzer düzeltmeleri 8.0.2, 7.6.8, 7.4.12 ve 7.2.13, FortiManager düzeltmeleri 8.0.1, 7.6.8, 7.4.12 ve 7.2.13.
• CVE-2026-126229 (9.1), FG-IR-26-244: FortiManager, FortiAnalyzer ve Cloud sürümlerinin dmserver bileşeninde yetkilendirme atlatma. Kimliği doğrulanmış bir yönetici, özel hazırlanmış HTTP istekleriyle diğer VDOM’lara erişebiliyor. Düzeltmeler 8.0.2, 7.6.8 ve 7.4.12. 7.2 ve 7.0 dallarındaki bütün sürümler etkileniyor ve düzeltilmiş bir sürüme geçilmesi gerekiyor.
• CVE-2026-126261 (9.0), FG-IR-26-275: FortiManager’ın FGFM protokolünde hatalı yetkilendirme. FGFM portuna erişebilen kimliği doğrulanmamış bir saldırgan, özel hazırlanmış FGFM paketleriyle kod ya da komut çalıştırabiliyor. FortiManager düzeltmeleri 8.0.1, 7.6.8, 7.4.6 ve 7.2.9. FortiManager’ın FGFM servisindeki CVE-2024-47575, 2024’te saldırılarda kullanılmış ve CISA’nın KEV listesine eklenmişti.
• CVE-2026-126260 (9.0), FG-IR-26-274: FortiAnalyzer’da ve FortiAnalyzer özellikleri açık FortiManager’da sunucu taraflı istek sahteciliği (SSRF). OFTP portuna erişebilen bir saldırgan, özel hazırlanmış OFTP paketleriyle sunucuya istek yaptırabiliyor. FortiAnalyzer düzeltmeleri 8.0.1, 7.6.8 ve 7.4.12, FortiManager düzeltmeleri 8.0.1, 7.6.8 ve 7.4.12. 7.2 dalı etkilenmiyor.
• CVE-2026-126259 (9.0), FG-IR-26-273: FortiOS’ta kritik bir işlev için kimlik doğrulama eksikliği. HA FGSP ile standalone-config-sync ya da autoscale kullanılan yapılandırmalarda, kimliği doğrulanmamış bir saldırgan özel hazırlanmış HA paketleriyle super admin olarak komut çalıştırabiliyor. FortiOS düzeltmeleri 8.0.1, 7.6.8, 7.4.13 ve 7.2.14. 7.0 dalındaki bütün sürümler etkileniyor ve düzeltilmiş bir sürüme geçilmesi gerekiyor. Fortinet’e göre FMWP veritabanının 26.082 güncellemesinde bu açık için FG-VD-61445.0day adlı bir sanal yama bulunuyor.

FortiMail, FortiAuthenticator ve FortiClient’taki kritik açıklar

Fortinet, FortiMail için sekiz, FortiAuthenticator için iki, FortiClient için bir kritik bülten yayımladı. FortiMail bültenlerinde şirket, sorunları FortiMail Cloud’da kendisinin giderdiğini ve bulut müşterilerinin bir işlem yapmasına gerek olmadığını belirtiyor.

• CVE-2026-126147 (9.8), FG-IR-26-199: FortiMail’de path traversal. Kimliği doğrulanmamış bir saldırgan özel hazırlanmış isteklerle yetkisiz kod ya da komut çalıştırabiliyor. Düzeltmeler 8.0.2, 7.6.7 ve 7.4.9. 7.2 dalındaki bütün sürümler etkileniyor ve düzeltilmiş bir sürüme geçilmesi gerekiyor.
• CVE-2026-126148 (9.8), FG-IR-26-200: FortiMail’de komut enjeksiyonu. Kimliği doğrulanmamış bir saldırgan özel hazırlanmış HA katılma isteği (join-request) paketleriyle yetkisiz kod ya da komut çalıştırabiliyor. Düzeltmeler 8.0.2 ve 7.6.7. 7.4 ve 7.2 dalları etkilenmiyor.
• CVE-2026-126164 (9.4), FG-IR-26-216: FortiMail’de SQL injection. Kimliği doğrulanmamış bir saldırgan özel hazırlanmış isteklerle yetkisiz kod ya da komut çalıştırabiliyor. Düzeltmeler 8.0.2, 7.6.7 ve 7.4.9. 7.2 dalındaki bütün sürümler etkileniyor.
• CVE-2026-126263 (9.4), FG-IR-26-277: FortiMail’de SQL injection. Bültenin özetine göre kimliği doğrulanmış bir saldırgan özel hazırlanmış isteklerle yetkisiz kod ya da komut çalıştırabiliyor, bültenin künyesinde ise saldırı türü kimlik doğrulamasız olarak işaretli. Düzeltmeler 8.0.2, 7.6.7 ve 7.4.7.
• CVE-2026-126150 (9.1), FG-IR-26-202: FortiMail’de kritik bir işlev için kimlik doğrulama eksikliği. Kimliği doğrulanmamış bir saldırgan özel hazırlanmış HTTP istekleriyle herhangi bir IBE webmail kullanıcısının parolasını sıfırlayıp hesabını ele geçirebiliyor. Düzeltmeler 8.0.1, 7.6.6 ve 7.4.8. 7.2 dalının düzeltmesi henüz yayımlanmayan 7.2.10’da.
• CVE-2026-126155 (9.1), FG-IR-26-207: FortiMail’de hatalı yetkilendirme. Kimliği doğrulanmamış uzaktaki bir saldırgan herhangi bir IBE alıcısı adına oturum elde edip şifreli e-postalarını okuyabiliyor ya da gönderebiliyor.
• CVE-2026-126156 (9.1), FG-IR-26-208: FortiMail’de yetkilendirme atlatma. Kimliği doğrulanmamış uzaktaki bir saldırgan herhangi bir IBE alıcı hesabını ele geçirebiliyor.
• CVE-2026-126157 (9.1), FG-IR-26-209: FortiMail’de kritik bir işlev için kimlik doğrulama eksikliği. Kimliği doğrulanmamış bir saldırgan başka kullanıcıların güvenli e-posta hesaplarına erişebiliyor. Bu bültende ve önceki iki bültende düzeltmeler 8.0.2, 7.6.7 ve 7.4.9. 7.2 dalındaki bütün sürümler etkileniyor, FG-IR-26-209’da 7.0 dalı da etkilenenler arasında.
• CVE-2026-126251 (9.1), FG-IR-26-265: FortiAuthenticator’da hatalı yetkilendirme. Bir saldırgan kimlik doğrulamayı atlatıp yetkisiz erişim elde edebiliyor. Düzeltmeler 8.0.4 ve 6.6.11.
• CVE-2026-126257 (9.0), FG-IR-26-271: FortiAuthenticator’da sabit kodlanmış parola (hard-coded password) kullanımı. Kimliği doğrulanmamış bir saldırgan, kendi denetimi dışındaki belirli koşullarda kimlik bilgisi doğrulamasını atlatıp yetkisiz erişim elde edebiliyor. Düzeltmeler 8.0.4 ve 6.6.11.
• CVE-2026-121529 (9.1), FG-IR-26-194: FortiClient Mac, FortiClient Windows ve FortiClient Windows PAM’de kaynak doğrulama hatası (origin validation error). Yetkisiz uzaktaki bir saldırgan kod ya da komut çalıştırabiliyor, bunun için kurbanın etkileşimi gerekiyor. Düzeltmeler 7.4.8 ve FortiClient Windows ile Windows PAM’in 7.2 dalı için 7.2.15. 8.0 dalı ve FortiClient Windows Free VPN etkilenmiyor. Açığı Baldur Security’den Kevin Joensen bildirdi.

Önerilen önlemler

Fortinet bültenlerde etkilenen ürünlerin düzeltilmiş sürümlere yükseltilmesini öneriyor ve bazı bültenlerde yükseltme yolu için şirketin yükseltme aracına yönlendiriyor. FortiMail, FortiAuthenticator ve FortiClient kullananların da yukarıdaki bültenlerde belirtilen düzeltilmiş sürümlere geçmesi gerekiyor. Düzeltmesi henüz yayımlanmayan FortiAnalyzer ve FortiManager 8.0 dalı için CVE-2026-126170’e karşı JSON API’nin kapalı olduğunun kontrol edilmesi gerekiyor. Bültenlere göre FGFM ve OFTP açıklarının istismarı için saldırganın bu portlara erişebilmesi gerekiyor, bu yüzden FortiManager ve FortiAnalyzer’ın yönetim ve cihaz iletişim portlarına erişimin güvenilir ağlarla sınırlandırılması yerinde olur.