Fortinet wydaje poprawki dla FortiOS, FortiManager i FortiAnalyzer, a biuletyny opublikuje dopiero 10 listopada

Fortinet zapowiedział na 22 października 2026 r. aktualizacje FortiOS, FortiManager i FortiAnalyzer z poprawkami krytycznymi i wysokimi, po wydaniach FortiMail i FortiAuthenticator. Część błędów znalazł w testach z użyciem modeli AI. Szczegółów podatności jeszcze nie podał.

Carl Windsor, CISODyrektor ds. bezpieczeństwa informacji Osoba odpowiedzialna w organizacji za program bezpieczeństwa informacji, zwykle raportująca zarządowi o stanie zabezpieczeń i ryzykach. Fortinetu, zapowiedział 21 października 2026 r. na blogu firmy, że 22 października Fortinet wyda skoordynowane aktualizacje bezpieczeństwa dla FortiOS, FortiManager i FortiAnalyzer. Wcześniej poprawki dostały FortiMail i FortiAuthenticator. Według producenta wydania zawierają poprawki o ocenie krytycznej i wysokiej, a część błędów firma znalazła w programie testów bezpieczeństwa z użyciem zaawansowanych modeli AI. Za współpracę podziękowała firmom Anthropic, OpenAI, Google i SpaceX. Biuletyny z opisem podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. ukażą się dopiero 10 listopada, przy najbliższym Patch Tuesday, na stronie zespołu Fortinetu odpowiedzialnego za bezpieczeństwo produktów.

Fortinet prosi, żeby traktować te wydania jako pilną zmianę, a nie rutynową konserwację, i zaczynać od urządzeń dostępnych z internetu. Uzasadnia to tym, że narzędzia AI pomagają atakującym w ciągu godzin lub dni zbudować działający exploit na podstawie poprawki, a samo porównanie kodu przed nią i po niej wskazuje miejsce słabości. Według firmy AI potrafi też połączyć kilka błędów o niższej ocenie w jeden poważny atak. SecurityOnline zaznacza, że Fortinet nie informuje o wykorzystaniu tych podatności w atakach, a numerów CVECVE Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń. ani publicznych exploitów jeszcze nie ma.

Poprawione wersje FortiOS to 8.0.2, 7.6.8, 7.4.13 i 7.2.14. FortiManager i FortiAnalyzer dostają wersje 8.0.2, 7.6.8, 7.4.12 i 7.2.13, FortiAuthenticator wersje 8.0.4 i 6.6.11. FortiMail jest poprawiony w wersjach 8.0.2, 7.6.7 i 7.4.9, a gałąź 7.2 trzeba przenieść na 7.4 lub nowszą. FortiSASE ma zostać zaktualizowany automatycznie przed 22 października, FortiManager Cloud może wymagać ręcznej aktualizacji, a instancje w chmurach publicznych dostaną poprawki przez partnerów chmurowych.

Jeśli masz FortiGate lub FortiManager, Fortinet zaleca spisać wszystkie urządzenia, zacząć od wystawionych do internetu, zaplanować okna serwisowe na 22 i 23 października i zrobić kopię konfiguracji, a przed aktualizacją i po niej sprawdzać logi pod kątem nietypowych logowań administratorów i niezatwierdzonych zmian konfiguracji. Do czasu aktualizacji radzi ograniczyć dostęp do interfejsów administracyjnych HTTPS i SSH do zaufanych adresów IP albo wyłączyć je na interfejsach zewnętrznych, nie wystawiać administracji FortiManager do internetu i wymusić MFAUwierzytelnianie wieloskładnikowe Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa. dla wszystkich kont administratorów. Producent zastrzega, że te kroki zmniejszają ryzyko, ale nie zastępują aktualizacji.

Źródła

• Fortinet: Fortinet Releases Security Hardening Release for Multiple Products
• SecurityOnline: Fortinet Urges Fast Upgrades as AI-Found Flaws Hit FortiOS, FortiManager and FortiAnalyzer

Pojęcia w tym tekście (4)

Dyrektor ds. bezpieczeństwa informacji

Osoba odpowiedzialna w organizacji za program bezpieczeństwa informacji, zwykle raportująca zarządowi o stanie zabezpieczeń i ryzykach.

Podatność

Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.

CVE

Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń.

Uwierzytelnianie wieloskładnikowe

Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 22 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.