Fortinet FortiMail, özelleştirilmiş HTTP veya HTTPS istekleri aracılığıyla kimliği doğrulanmamış bir saldırganın altyapıdaki sisteme keyfi dosyalar yazmasına izin verebilecek bir dizin geçişi ve NULL bayt veya NULL karakterinin uygun şekilde nötralize edilmemesi güvenlik açığı içerir.
Bu güvenlik açığı CISA'nın bilinen istismar edilen güvenlik açıkları kataloğunda yer almaktadır. Teorik bir risk değildir — sahada kullanılmaktadır.
Fortinet FortiMail, özelleştirilmiş HTTP veya HTTPS istekleri aracılığıyla kimliği doğrulanmamış bir saldırganın altyapıdaki sisteme keyfi dosyalar yazmasına izin verebilecek bir dizin geçişi ve NULL bayt veya NULL karakterinin uygun şekilde nötralize edilmemesi güvenlik açığı içerir.
Hafifletmeleri satıcının talimatlarına uygun şekilde uygulayın; CISA’nın BOD 26-04 Prioritizing Security Updates Based on Risk (bkz. Notlar'daki URL) yönergesine ve CISA’nın “Forensics Triage Requirements” (bkz. Notlar'daki URL) gereksinimlerine uyduğundan emin olun. Bulut hizmetleri için geçerli BOD 26-04 yönergelerini takip edin veya hafifletmeler mevcut değilse ürünün kullanımını sonlandırın. Paydaşlar, her varlığın internet maruziyetini değerlendirmekten ve BOD 26-04 yama yönergelerine uyumu sağlamaktan sorumludur.
CVSSv3 Puanı: 9.8 Bir yol adının kısıtlı bir dizine uygunsuz şekilde sınırlandırılması ('Path Traversal') ve NULL Baytı veya NULL Karakterinin uygunsuz etkisizleştirilmesi zafiyeti, kimlik doğrulaması olmayan bir saldırıcının hazırlanmış HTTP veya HTTPS istekleri aracılığıyla alttaki sistemde rastgele dosyalar yazmasına izin verebilir. Bu zafiyetin aktif olarak istismar edildiği bildirilmiştir; müşterilere aşağıdaki geçici çözümü uygulamaları önerilir. Güncellendi: 2026-10-01 00:00:00
Fortinet FortiOS, FortiSwitchManager ve FortiSASE, özel hazırlanmış paketler aracılığıyla saldırganın yetkisiz kod veya komut çalıştırmasına olanak veren heap tabanlı bir tampon taşması zafiyeti içerir.
CVSSv3 Skoru: 7.3 FortiOS ve FortiProxy Agentless ZTNA portalindeki uygunsuz sertifika doğrulaması zafiyeti, uzak ve doğrulanmamış bir saldırganın ZTNA portalı ile arka uç hedef web sitesi arasındaki iletişim kanalında Man-in-the-Middle (MitM) saldırısı gerçekleştirmesine izin verebilir. Yeniden gözden geçirildi: 2026-09-08 00:00:00