Beveiliging · 29 oktober 2026
Fortinet publiceert spoedgepatch voor kritieke kwetsbaarheden in FortiOS en andere producten
Fortinet heeft een beveiligingsupdate uitgebracht voor FortiOS, FortiManager, FortiAnalyzer, FortiMail en FortiAuthenticator. Deze update corrigeert kwetsbaarheden die zijn ingedeeld als kritiek en hoog. De details van de fouten worden pas op 10 november 2026 openbaar gemaakt. Het bedrijf dringt aan op een onmiddellijke upgrade voor systemen die verbonden zijn met het internet.
De kwetsbaarheden zijn ontdekt met behulp van kunstmatige intelligentie. Fortinet heeft een frontier AI-model gecombineerd met een eigen on-premises AI-model. Dit proces duurde enkele maanden en omvatte het analyseren van firmware zonder broncode. De AI maakte een kaart van de werking en mogelijke aanvalspunten. Vervolgens werden de resultaten geverifieerd door penetratietests en red teaming. Deze aanpak leverde niet veel direct aanvalbare fouten op, maar toonde aan dat AI goed is in het vergelijken van firmwareversies en het maken van proof-of-concept exploits voor reeds opgeloste problemen.
De meeste bevindingen kwamen voort uit de analyse van de eigen broncode van Fortinet. Dit is normaal gesproken niet toegankelijk voor aanvallers. Uit meer dan honderd tests in dertig productfamilies bleek dat ongeveer veertig procent van de bevindingen echte kwetsbaarheden waren. Dertig procent bleken foutmeldingen te zijn. De resterende dertig procent betrof punten voor beveiligingsverbeteringen die niet direct aanvalbaar waren. Fortinet benadrukt dat aanvallers ook toegang hebben tot AI-tools. Zij kunnen deze gebruiken om kwetsbaarheden te vinden en exploits te bouwen. Het tijdsverschil tussen het openbaar maken van een fout en een daadwerkelijke aanval wordt steeds korter. Zodra een patch beschikbaar is, kan de code wijzen op de aangepaste delen, waardoor niet-gepatchte apparaten een makkelijker doelwit worden.
Fortinet waarschuwt dat AI lage kwetsbaarheden die op het eerste gezicht ongerelateerd lijken, kan combineren tot een ernstig en aanvalbaar probleem. Sommige van de nu opgeloste fouten kunnen op afstand worden uitgebuit zonder dat er een inlog vereist is. De apparaten van Fortinet zijn al lang een populair doelwit voor aanvallers. De update is beschikbaar voor FortiOS, FortiManager en FortiAnalyzer in versies 8.0, 7.6, 7.4 en 7.2. Voor FortiMail zijn versies 8.0, 7.6 en 7.4 beschikbaar. Gebruikers van FortiMail 7.2 moeten upgraden naar 7.4 of hoger. FortiAuthenticator is beschikbaar in versie 8.0 en 6.6.
Het bedrijf raadt beheerders aan om niet te wachten tot 10 november. Systemen die verbonden zijn met het internet moeten als eerste worden bijgewerkt. Tussen het moment van de update en de volledige implementatie kunnen risico's tijdelijk worden verminderd. Dit kan door de toegang tot beheerdersaccounts te beperken tot vertrouwde IP-adressen. FortiManager moet niet openstaan voor het internet. Sterke en unieke inloggegevens moeten worden gebruikt. Meervoudige verificatie moet verplicht worden voor beheerdersaccounts. Deze maatregelen zijn echter geen vervanging voor de upgrade. De update bevat geen correctie voor de PHP2Shell-kwetsbaarheid, omdat de vijf genoemde producten niet door die fout worden beïnvloed.