Corrigé en janvier 2026, le débordement de tas CVE-2025-25249 dans le démon cw_acd de FortiOS est désormais exploité dans la nature : la CISA l’a inscrit au KEV le 9 septembre 2026, alors que SOCRadar observe le RAT PivotC2 déployé sur 178 appareils. Les équipes réseau doivent monter en version les trains FortiOS exposés avant le 12 septembre, puis retirer l’accès fabric devenu inutile.

Le 13 août 2026, Fortinet publie huit correctifs, dont un contournement d’authentification dans FortiWeb qui laisse un attaquant se connecter avec des identifiants aléatoires, et un second dans FortiManager qui permet d’usurper un FortiGate. Les équipes qui administrent un parc de pare-feu doivent patcher ces deux produits en priorité absolue.