Fortinet corrige des contournements d’authentification dans FortiWeb et FortiManager

13 août 2026. Fortinet publie un lot de huit correctifs de sécurité qui touche FortiWeb, FortiManager, FortiClient, FortiOS et FortiSIEM. Au centre du lot, deux failles d’authentification : l’une laisse un attaquant se connecter à FortiWeb avec n’importe quels identifiants, l’autre permet d’usurper un FortiGate auprès de son FortiManager. Aucune exploitation active n’a été observée à la publication — mais ce sont précisément les failles qui transforment un pare-feu en porte ouverte.

Fortinet est une cible récurrente depuis des années, et pas seulement opportuniste : les gangs de ransomware visent ses boîtiers VPN et ses interfaces d’administration dès qu’une faille d’authentification apparaît. Quand le contournement touche le plan de gestion — FortiManager —, ce n’est plus un appareil qui tombe, c’est toute la flotte de FortiGate qu’il pilote.

FortiWeb : se connecter avec un mot de passe inventé

La faille la plus sévère du lot est CVE-2026-26035, dans le mécanisme de connexion de FortiWeb, le pare-feu applicatif de Fortinet. Le score CVSS oscille entre 8,8 et 9,8 selon les sources, ce qui la place dans la tranche critique.

Le scénario est précis. La vulnérabilité — une authentification incorrecte (CWE-287) — ne se déclenche que dans une configuration particulière : quand un compte administrateur de FortiWeb est défini avec une authentification de type Remote RADIUS et que l’option wildcard est activée. Ce n’est pas la configuration par défaut, mais elle n’est pas rare dans les organisations qui fédèrent l’accès admin derrière un annuaire central.

Dans cette configuration, l’appliance finit par faire correspondre n’importe quel nom d’utilisateur du serveur d’authentification distant au groupe d’administrateurs. Concrètement, un attaquant distant et non authentifié peut « se connecter à l’interface GUI/CLI de FortiWeb avec un nom d’utilisateur et un mot de passe aléatoires », comme l’explique l’avis de Fortinet. Il n’a pas besoin de connaître, ni même de deviner, le moindre identifiant valide : la logique de correspondance cassée fait le travail à sa place, et lui remet le contrôle administratif du WAF.

Les versions concernées couvrent la quasi-totalité des branches : 8.0.0 à 8.0.2, 7.6.0 à 7.6.6, 7.4.0 à 7.4.11, 7.2.0 à 7.2.12, ainsi que la branche historique 7.0.x. Les correctifs sont disponibles en 8.0.3, 7.6.7, 7.4.12 et 7.2.13. Pour la branche 7.0.x, aucune version corrigée n’est nommée : Fortinet renvoie vers le support.

Le contournement immédiat est simple, et c’est ce qui rend la faille gérable en attendant la mise à jour : désactiver l’option wildcard sur les comptes de type Remote, soit dans l’interface (System → Administrators), soit en CLI avec set wildcard disable sous config system admin.

FortiManager : usurper un FortiGate pour manipuler les politiques

La seconde faille majeure est plus discrète mais potentiellement plus grave à l’échelle d’un parc. CVE-2026-70468, dans FortiManager, est un contournement d’authentification par chemin ou canal alternatif (CWE-288), noté 8,1 en CVSS v3.1.

FortiManager est la plateforme centralisée par laquelle les grandes entreprises configurent et supervisent des flottes entières de pare-feu FortiGate. La faille siège dans le protocole FGFM, celui que FortiManager utilise pour communiquer avec les appareils qu’il administre. Son exploitation exige une option de configuration CLI spécifique combinée à un certificat valide.

Si ces conditions sont réunies, un attaquant peut se faire passer pour n’importe quel FortiGate placé sous la gestion de ce FortiManager. La conséquence n’est pas anecdotique : c’est la capacité de modifier des politiques de pare-feu à l’échelle du parc — ouvrir des règles, désactiver des protections, exfiltrer des configurations. Le plan de gestion est l’endroit où une compromission produit le plus de dégâts avec le moins d’efforts.

Les versions touchées sont FortiManager et FortiManager Cloud 7.6.1, 7.4.3 à 7.4.5 et 7.2.5 à 7.2.9. Les correctifs sont en 7.6.2, 7.4.6 et 7.2.10.

Le reste du lot : DNS, FortiOS et une bombe HTTP/2

Le lot du 13 août ne s’arrête pas aux deux failles d’authentification. Trois autres méritent l’attention d’un RSSI, car elles touchent des couches très différentes.

• CVE-2026-70465, dans FortiClient pour Windows, est un débordement de tampon classique (CWE-120). Un attaquant non authentifié capable d’intercepter ou d’usurper des réponses DNS peut exécuter du code arbitraire sur le poste via des paquets réseau forgés. Les versions 7.4.0 à 7.4.3 et 7.2.0 à 7.2.11 sont concernées.
• CVE-2026-71407, dans FortiOS, est un débordement de pile (CWE-121) dans le démon WAD, exploitable via des sockets forgés — mais uniquement quand Kerberos et un proxy SOCKS explicite sont configurés.
• CVE-2026-49975 est une « bombe HTTP/2 » (CWE-789), une bombe de compression HPACK combinée à des blocages de contrôle de flux, qui épuise la mémoire. Elle touche FortiWeb et FortiAppSec Cloud via leur serveur Apache HTTP Server sous-jacent, corrigé en amont dans Apache 2.4.68.

Deux autres failles complètent le tableau sans atteindre la même gravité : CVE-2026-70466, une évasion de politiques du WAF FortiWeb via l’en-tête Content-Encoding (CWE-184), et CVE-2026-70467, une SSRF (CWE-918) dans FortiSIEM exploitable par un utilisateur authentifié.

Ce qui relie ces huit failles, c’est qu’elles se concentrent sur les couches d’entrée — le WAF, le client VPN, le démon d’interface — et sur le plan de gestion. C’est le schéma classique d’un lot pensé pour réduire la surface d’attaque exposée, pas d’un rattrapage cosmétique.

Ce qu’il faut faire, dans l’ordre

Le contexte plaide pour la vitesse. Fortinet indique ne pas avoir observé d’exploitation active au moment de la publication, mais la complexité d’attaque est faible sur les deux failles d’authentification, et l’historique du constructeur — cibles récurrentes des gangs de ransomware sur les équipements de bordure — incite à ne pas attendre.

Trois actions, dans cet ordre :

• FortiWeb en Remote RADIUS avec wildcard. Vérifiez immédiatement vos comptes administrateurs. Si l’option wildcard est activée, désactivez-la sans attendre le correctif — c’est un contournement de deux minutes qui neutralise CVE-2026-26035 — puis planifiez la montée vers 8.0.3, 7.6.7, 7.4.12 ou 7.2.13.
• FortiManager. Appliquez 7.6.2, 7.4.6 ou 7.2.10 en priorité. L’usurpation de FortiGate via FGFM est la faille dont l’impact est le plus systémique : c’est votre capacité à pousser des politiques sur tout le parc qui est en jeu.
• FortiClient pour Windows. Déployez les versions corrigées sur les postes. L’exploitation par réponses DNS usurpées ne demande aucune interaction utilisateur, ce qui en fait un vecteur de compromission de poste silencieux.

Pour les équipes qui ne peuvent pas patcher dans les prochains jours, l’avis de Fortinet fournit au moins un contournement documenté pour la faille la plus critique. Mais un contournement sur le WAF ne remplace pas la mise à jour : la branche 7.0.x de FortiWeb, sans correctif nommé, est à traiter comme un risque résiduel à planifier — quitte à migrer de branche.

Verdict

Ce lot du 13 août ne contient pas de zero-day exploité en masse — du moins pas encore. Il contient pire pour qui tarde : des failles d’authentification à faible complexité sur les deux couches les plus sensibles d’un déploiement Fortinet.

Si vous exploitez FortiWeb avec une authentification RADIUS centralisée, traitez CVE-2026-26035 comme un incident évité de justesse : désactivez le wildcard aujourd’hui, patchez cette semaine.

Si vous administrez un parc via FortiManager, CVE-2026-70468 est votre priorité absolue — une compromission du plan de gestion se propage à chaque pare-feu qu’il supervise, et aucune règle de détection en aval ne compense une politique modifiée à la source.

Pour le reste du parc, le raisonnement est simple : les produits d’entrée de Fortinet sont une cible permanente, et ce lot est une fenêtre d’opportunité qui se referme. Patchez avant que la fenêtre ne s’ouvre de l’autre côté.

Références

• Cyber Security News — Fortinet Patches Multiple Authentication Vulnerabilities in FortiWeb, FortiManager, and FortiClient, 13 août 2026
• Fortinet PSIRT — FortiWeb improper authentication (CVE-2026-26035), 13 août 2026
• Fortinet PSIRT — FortiManager authentication bypass in FGFM (CVE-2026-70468), 13 août 2026
• H-ISAC — Fortinet Patches High-Severity Flaws in Various Products, 13 août 2026
• NVD — CVE-2026-26035
• NVD — CVE-2026-70468