21 i 22 października 2026 r. Fortinet wydał aktualizacje dla FortiOS, FortiManager, FortiAnalyzer, FortiMail i FortiAuthenticator, usuwające krytyczne i poważne podatności. Zrobił to w nietypowy sposób: szczegóły błędów opublikuje dopiero 10 listopada. Producent przedstawia to jako ruch wyprzedzający: klienci mają zaktualizować urządzenia, zanim opis błędów stanie się publiczny.
Z perspektywy firmy to oznacza jedno: zegar już tyka. Po 10 listopada opis podatności będzie publiczny, a niezaktualizowane FortiGate’y i FortiManagery staną się łatwym celem. Do tego dochodzi osobna, aktywnie wykorzystywana luka w FortiMail, przed którą CERT Polska ostrzegał już 2 października.
Najważniejsze w skrócie:
- Zaktualizuj FortiOS do 8.0.2, 7.6.8, 7.4.13 lub 7.2.14 (albo nowszej wersji w swojej gałęzi) – w pierwszej kolejności urządzenia dostępne z internetu.
- FortiManager i FortiAnalyzer: 8.0.2, 7.6.8, 7.4.12 lub 7.2.13. FortiAuthenticator: 8.0.4 lub 6.6.11.
- FortiMail: 8.0.2, 7.6.7 lub 7.4.9 – te wersje usuwają też aktywnie wykorzystywaną lukę CVE-2026-104286. Gałąź 7.2 trzeba przenieść na 7.4 lub nowszą.
- Do czasu aktualizacji: panele administracyjne tylko z zaufanych adresów IP, FortiManager niedostępny z internetu, MFA dla wszystkich administratorów.
- Szczegółowe komunikaty pojawią się 10 listopada 2026 r. na stronie FortiGuard PSIRT.
Mapa artykułu
Spis treści
Co dokładnie wydał Fortinet
Według wpisu na blogu Fortinetu poprawki usuwają podatności znalezione w ramach wewnętrznego programu testów bezpieczeństwa wspieranego przez AI. Producent nie informuje, że były one wykorzystywane w atakach – opisuje aktualizację jako działanie wyprzedzające. Jednocześnie ostrzega, że czas między ujawnieniem podatności a jej wykorzystaniem jest coraz krótszy.
| Produkt | Bezpieczne wersje (lub nowsze) |
|---|---|
| FortiOS | 8.0.2, 7.6.8, 7.4.13, 7.2.14 |
| FortiManager | 8.0.2, 7.6.8, 7.4.12, 7.2.13 |
| FortiAnalyzer | 8.0.2, 7.6.8, 7.4.12, 7.2.13 |
| FortiMail | 8.0.2, 7.6.7, 7.4.9 (7.2 → migracja do 7.4) |
| FortiAuthenticator | 8.0.4, 6.6.11 |
FortiSASE aktualizuje się automatycznie. W przypadku FortiManager Cloud CERT Polska zwraca uwagę, że może być potrzebna ręczna aktualizacja.
FortiMail: luka, która już jest wykorzystywana
Osobną sprawą jest CVE-2026-104286 w FortiMail. CERT Polska opisał ją 2 października jako krytyczną i aktywnie wykorzystywaną w atakach. Pozwala nieuwierzytelnionemu atakującemu zapisywać dowolne pliki w systemie, a w efekcie wykonać dowolny kod – wystarczy dostęp do interfejsu zarządzania FortiMail.
Podatne były wersje 8.0.0–8.0.1, 7.6.0–7.6.6, 7.4.0–7.4.8 i 7.2.0–7.2.9. Poprawki weszły w wersjach 8.0.2, 7.6.7 i 7.4.9. Kto nie mógł zaktualizować, miał wyłączyć funkcję IBE i ograniczyć dostęp do panelu do sieci wewnętrznej.
Najważniejsze zalecenie dotyczy tego, co było wcześniej: ponieważ luka była wykorzystywana, każdą podatną instancję trzeba sprawdzić pod kątem śladów włamania. Wskaźniki kompromitacji Fortinet podał w komunikacie FG-IR-26-175. Sama aktualizacja nie usuwa tego, co atakujący mógł zostawić na urządzeniu.
Jak przeprowadzić aktualizację bez przestoju
- Inwentaryzacja – lista wszystkich urządzeń Fortinet z wersjami, łącznie z tymi „zapomnianymi” w oddziałach.
- Kopia konfiguracji każdego urządzenia przed aktualizacją.
- Ścieżka aktualizacji – przy dużym skoku wersji FortiOS trzeba przejść przez wersje pośrednie zgodnie z narzędziem Upgrade Path producenta.
- Najpierw urządzenia wystawione do internetu, potem reszta.
- Okno serwisowe i plan powrotu – w klastrach HA aktualizacja zwykle może przejść bez zatrzymania ruchu, w pojedynczych urządzeniach trzeba zaplanować krótką przerwę.
- Obserwacja logów przed i po aktualizacji – producent wprost to zaleca.
Jeśli nie możesz zaktualizować od razu
CERT Polska i Fortinet zalecają, żeby do czasu aktualizacji:
- ograniczyć dostęp do paneli administracyjnych (HTTPS, SSH) do zaufanych adresów IP, a najlepiej wyłączyć go na interfejsach zewnętrznych,
- upewnić się, że panel FortiManagera nie jest dostępny z internetu,
- wymusić MFA dla wszystkich kont administracyjnych i silne, unikalne hasła,
- rozważyć zarządzanie urządzeniami poza pasmem lub przez VPN.
To ogranicza ryzyko, ale nie zastępuje aktualizacji. Panel administracyjny firewalla wystawiony do internetu to jeden z najczęstszych błędów, które widać w audytach – o roli NGFW i UTM w firmie pisaliśmy w artykule NGFW i UTM – kluczowe technologie.
Co się stanie 10 listopada
Tego dnia Fortinet opublikuje szczegółowe komunikaty dla poszczególnych podatności na stronie FortiGuard PSIRT. Od tej chwili informacje o błędach będą dostępne dla wszystkich – także dla atakujących. Jeśli Twoje urządzenia nie zostaną zaktualizowane do tego czasu, okno bezpieczeństwa się zamyka.
Dla firm objętych ustawą o KSC to także kwestia dokumentacji: szybka reakcja na komunikat producenta to dokładnie ten rodzaj działań, który ustawa nazywa niezwłocznym działaniem po wykryciu podatności. Warto mieć ślad, kto, kiedy i co zaktualizował.
FAQ – aktualizacje Fortinet październik 2026
Czy podatności z aktualizacji z 21–22 października są wykorzystywane?
Fortinet nie informuje o atakach – opisuje poprawki jako wyprzedzające. Wyjątkiem jest FortiMail (CVE-2026-104286), który według CERT Polska był aktywnie wykorzystywany.
Mamy FortiSASE. Czy musimy coś robić?
FortiSASE aktualizuje się automatycznie. Sprawdź jednak pozostałe urządzenia i FortiManager Cloud, który może wymagać ręcznej aktualizacji.
Co z FortiMailem w wersji 7.2?
Dla gałęzi 7.2 producent nie wydał poprawki – zaleca migrację do 7.4 lub nowszej.
Gdzie znajdę szczegóły podatności?
Fortinet opublikuje je 10 listopada 2026 r. na stronie fortiguard.com/psirt. Do tego czasu dostępna jest lista produktów i wersji z poprawkami.
