Aller au contenu
Tous les articles

· par NetProtector Security Team

Fortinet : la faille FortiCloud SSO touche aussi des FortiGate déjà corrigés

Illustration : une clé de connexion issue du cloud ouvre les serrures de plusieurs pare-feu appartenant à d'autres clients, de nouveaux comptes administrateur apparaissent

En enregistrant votre FortiGate auprès de FortiCare, vous activez souvent, presque sans le remarquer, une fonction pratique : la connexion administrateur via le Single Sign-On de FortiCloud. C'est précisément par ce biais que des attaquants ont récemment pu se connecter en tant qu'administrateur à des pare-feu appartenant à d'autres clients – y compris sur des équipements ayant installé toutes les mises à jour de décembre. Fortinet a publié la vulnérabilité CVE-2026-24858 le 27 janvier 2026, et l'agence américaine CISA l'a ajoutée le même jour à son catalogue des vulnérabilités activement exploitées.

De quoi s'agit-il

FortiCloud SSO permet de se connecter directement à l'interface d'administration d'un FortiGate enregistré à l'aide de son compte FortiCloud. Par défaut, la fonction est désactivée. Elle est toutefois activée lors de l'enregistrement de l'équipement, à moins que l'administrateur ne désactive explicitement l'option « Allow administrative login using FortiCloud SSO ». La faille : un attaquant disposant de son propre compte FortiCloud et de son propre équipement enregistré pouvait ainsi se connecter également à des équipements appartenant à d'autres comptes.

Les données clés selon l'avis de sécurité Fortinet FG-IR-26-060 du 27 janvier 2026 :

  • Gravité : critique, CVSS 9.8 dans l'avis actuel. Les premiers rapports mentionnaient 9.4 – il s'agit de la valeur temporelle, qui tient compte de l'état de l'exploitation et du correctif.
  • Produits concernés : FortiOS 7.0 à 7.6 (jusqu'à 7.6.5, 7.4.10, 7.2.12 et 7.0.18 inclus) ainsi que FortiProxy 7.0 à 7.6. FortiManager, FortiAnalyzer, FortiWeb et FortiSwitchManager sont également concernés. FortiOS 8.0 et 6.4 ne le sont pas – pas plus que les installations utilisant leur propre fournisseur d'identité, comme FortiAuthenticator.
  • Corrigé dans : FortiOS 7.6.6, 7.4.11, 7.2.13 et 7.0.19, ou FortiProxy 7.6.5, 7.4.13, 7.2.16 et 7.0.23. Les mises à jour ont été publiées de manière échelonnée dans les jours suivant l'avis.
  • Condition préalable à l'attaque : un compte FortiCloud avec un équipement enregistré côté attaquant et la connexion FortiCloud SSO activée sur l'équipement cible. L'attaquant n'a pas besoin des identifiants de la victime.
  • Conséquence : accès administrateur au pare-feu – et donc à sa configuration, à ses comptes et à ses paramètres VPN.

Pourquoi c'est urgent

Cette faille a un historique. Le 9 décembre 2025, Fortinet avait publié deux autres failles dans la même fonction, CVE-2025-59718 et CVE-2025-59719. Elles avaient été découvertes lors d'un audit de code interne, mais ont été activement exploitées quelques jours plus tard seulement – la CISA a répertorié CVE-2025-59718 comme exploitée à partir du 16 décembre. Ceux qui avaient rapidement effectué la mise à jour pouvaient alors se sentir en sécurité.

À partir du 15 janvier 2026, la société de sécurité Arctic Wolf a toutefois observé une nouvelle vague d'attaques automatisées : connexions via FortiCloud SSO, immédiatement suivies du téléchargement de la configuration du pare-feu, de la création de comptes administrateur supplémentaires aux noms anodins comme « secadmin » ou « support », et de modifications donnant à ces comptes un accès VPN. Le tout en quelques secondes. Des équipements entièrement corrigés étaient également touchés – Fortinet a confirmé qu'un nouveau vecteur d'attaque avait été utilisé.

Fortinet a bloqué les deux comptes FortiCloud utilisés de manière abusive, a désactivé le 26 janvier la connexion FortiCloud SSO côté cloud pour tous les clients, puis l'a remise en service un jour plus tard – désormais sans prise en charge des versions vulnérables. Il s'agit d'une mesure d'une ampleur inhabituelle, qui a également protégé les équipements non corrigés contre d'autres connexions par cette voie. Pour les équipements déjà compromis, elle est cependant arrivée trop tard : les comptes créés et les configurations exfiltrées demeurent.

C'est précisément ce qui rend ce cas délicat. Une configuration exportée contient les hachages de mots de passe, qui peuvent être cassés hors ligne. Et un compte administrateur créé localement continue de fonctionner, même lorsque la faille SSO est corrigée depuis longtemps. Dans leurs publications, Fortinet et Arctic Wolf n'ont attribué les attaques à aucun groupe particulier.

Ce que vous devez faire dès maintenant

  1. Mettre à jour. Installez au minimum 7.6.6, 7.4.11, 7.2.13 ou 7.0.19 pour FortiOS, et les versions mentionnées ci-dessus pour FortiProxy. Vérifiez également FortiManager, FortiAnalyzer, FortiWeb et FortiSwitchManager à l'aide de l'avis de sécurité.
  2. Vérifier la connexion FortiCloud SSO. Si vous n'avez pas besoin de cette fonction, désactivez-la sous System > Settings (« Allow administrative login using FortiCloud SSO ») ou via la CLI avec set admin-forticloud-sso-login disable sous config system global.
  3. Restreindre l'accès d'administration. L'interface d'administration ne doit pas être librement accessible depuis Internet. Fortinet recommande un accès d'administration séparé ou, à tout le moins, une local-in policy n'autorisant que des adresses IP connues.
  4. Contrôler les journaux et les comptes. Recherchez les connexions SSO provenant de comptes inconnus, les configurations téléchargées et les comptes administrateur que personne n'a sciemment créés. Fortinet indique dans son avis des comptes et des adresses IP comme indicateurs – mais les noms ont changé au cours des attaques, vérifiez donc tous les comptes.
  5. En cas de soupçon, traitez l'équipement et sa configuration comme compromis : supprimez les comptes inconnus et les modifications VPN ou restaurez une configuration saine, et réinitialisez tous les identifiants – y compris ceux des comptes LDAP ou AD connectés.

Ce que cela signifie pour la protection des pare-feu

Ce cas met en lumière un problème qui concerne toute la branche, et pas seulement un fabricant : le pare-feu est l'équipement censé protéger le réseau, et en même temps l'une des cibles les plus attractives de celui-ci. Chaque fonction accessible depuis l'extérieur – portail VPN, interface d'administration, connexion cloud – constitue un point d'entrée potentiel. Et, comme ici, plusieurs jours peuvent s'écouler entre les premières attaques et la disponibilité du correctif, période pendant laquelle même des équipements soigneusement entretenus restent exposés.

NetProtector complète le pare-feu à ce niveau par une couche supplémentaire. L'appliance est placée en ligne devant le pare-feu et inspecte le trafic avant qu'il n'atteigne celui-ci :

  • Les sources d'attaque connues restent à l'extérieur. Ceux qui sondent massivement les pare-feu sur Internet à la recherche de vulnérabilités le font rarement sur une seule cible. Les adresses que le réseau de capteurs NetProtector a déjà observées lors de telles activités sont bloquées avant même de pouvoir s'adresser à votre équipement.
  • Les schémas inhabituels deviennent visibles. Les scans systématiques à la recherche d'interfaces d'administration, les tentatives de connexion répétées ou les accès à une cadence qu'aucun humain ne produit sont des anomalies que NetProtector détecte et signale.
  • Plus de marge jusqu'à la mise à jour. NetProtector ne corrige aucune faille du pare-feu – seul le correctif peut le faire. Il réduit toutefois le nombre d'attaquants capables d'atteindre le pare-feu pendant la période critique entre la divulgation et la mise à jour.
Anomalies du trafic – des motifs à travers le réseau de capteurs
Trafic normal Anomalie dans le trafic Motif identifié sur plusieurs capteurs

Nous expliquons sur la page Fonctionnement de NetProtector comment NetProtector détecte ces schémas et comment il s'intègre entre le routeur et le pare-feu sans modification du réseau.

Notre analyse

Fortinet a réagi rapidement et avec fermeté – désactiver sans attendre la connexion cloud pour tous les clients était une mesure contraignante, mais efficace. Ce cas n'en reste pas moins instructif : les fonctions de confort telles qu'une connexion cloud élargissent la surface d'attaque, souvent sans que personne n'en ait conscience. Et une mise à jour corrige la faille, mais ne supprime pas ce que les attaquants ont laissé derrière eux. Une bonne sécurisation commence donc par la question de savoir quelles fonctions un pare-feu doit réellement exposer vers l'extérieur – et se poursuit par des mises à jour rapides, le contrôle des comptes et des journaux, ainsi qu'une couche de protection en amont du pare-feu qui intercepte les attaquants avant même qu'ils ne puissent tenter quoi que ce soit.

Sources