FortiGate : deux failles exploitées ajoutées en un mois, faut-il mettre à jour votre pare-feu ?
En bref
Oui, si votre pare-feu FortiGate tourne sous FortiOS 7.6 avant 7.6.5 ou 7.4 avant 7.4.10. L’agence américaine CISA a inscrit deux failles FortiOS parmi les failles exploitées, le 9 septembre et le 16 octobre 2026. Les branches 7.2, 7.0 et 6.4 n’ont pas de correctif pour la seconde : Fortinet demande de migrer vers une version corrigée.
Le pare-feu est l’appareil qui garde l’entrée du réseau : tout ce qui arrive d’Internet passe par lui. Quand une faille de ce pare-feu est exploitée, c’est la porte d’entrée elle-même qui est visée. Les pare-feu FortiGate, de la société Fortinet, sont dans ce cas deux fois en un mois. Voici les faits, et les versions à installer.
Que s’est-il passé ?
L’agence américaine de cybersécurité, la CISA, tient un catalogue des failles exploitées : une faille y entre quand l’agence dispose de preuves qu’elle est utilisée par des attaquants. Deux failles de FortiOS, le logiciel des FortiGate, y sont entrées cet automne (catalogue lu le 25 octobre 2026).
Le 9 septembre 2026 : CVE-2025-25249. C’est un débordement de mémoire dans un service de FortiOS, publié par Fortinet le 13 janvier 2026 dans son avis FG-IR-25-084. Selon Fortinet, un attaquant à distance, sans identifiant, peut faire exécuter du code ou des commandes au pare-feu avec des requêtes fabriquées. La note de gravité est de 8,1 sur 10. La page de Fortinet, mise à jour pour la dernière fois en février 2026, n’indiquait pas encore d’exploitation quand nous l’avons lue le 25 octobre 2026 : c’est l’inscription par la CISA qui la signale.
Le 16 octobre 2026 : CVE-2025-61624. Celle-ci demande déjà un accès d’administrateur. Selon l’avis FG-IR-26-122 du 14 avril 2026, un compte d’administration peut, par certaines commandes, écrire ou effacer des fichiers du pare-feu. La note est plus basse, 6 sur 10, mais Fortinet la marque comme exploitée. Elle intéresse donc surtout un attaquant qui dispose déjà d’un accès d’administrateur.
Votre pare-feu est-il concerné ?
Il l’est si c’est un FortiGate et que sa version de FortiOS est antérieure à celles du tableau. La version s’affiche sur le tableau de bord de l’interface d’administration. Le tableau reprend les deux avis de Fortinet, lus le 25 octobre 2026.
| Branche de FortiOS | CVE-2025-25249 corrigée à partir de | CVE-2025-61624 corrigée à partir de | Version à viser |
|---|---|---|---|
| 7.6 | 7.6.4 | 7.6.5 | 7.6.5 ou plus |
| 7.4 | 7.4.9 | 7.4.10 | 7.4.10 ou plus |
| 7.2 | 7.2.12 | pas de correctif, migrer | une version corrigée de 7.4 ou 7.6 |
| 7.0 | 7.0.18 | pas de correctif, migrer | une version corrigée de 7.4 ou 7.6 |
| 6.4 | pas de correctif, migrer | pas de correctif, migrer | une version corrigée de 7.4 ou 7.6 |
Les deux avis citent aussi d’autres produits Fortinet (FortiSwitchManager, FortiProxy, FortiPAM), avec leurs propres versions corrigées. Fortinet renvoie à son outil de chemin de mise à jour : on ne saute pas toujours d’une version à l’autre en une fois.
Que faire, concrètement ?
- Relever la version de FortiOS de chaque pare-feu, y compris celui d’un second site ou d’un dépôt.
- Mettre à jour vers la version du tableau, en suivant le chemin donné par Fortinet, à un moment où une courte coupure ne gêne pas l’équipe.
- Si la mise à jour doit attendre, Fortinet propose pour CVE-2025-25249 deux contournements : retirer le service « fabric » des accès autorisés sur chaque interface, ou bloquer les ports UDP 5246 à 5249 sauf pour des adresses de confiance.
- Revoir les comptes d’administration : qui les a, s’ils sont tous encore utiles, et si l’interface d’administration est joignable depuis Internet. La seconde faille exige un compte d’administrateur : moins il y en a, et moins ils sont exposés, mieux c’est.
Une branche entière sans correctif, comme la 6.4 ou la 7.2 ici, est aussi un signal : le logiciel en place n’est plus corrigé pour toutes les failles, et celles qu’on découvrira ensuite resteront ouvertes. Mieux vaut prévoir la migration, ou le remplacement du matériel s’il ne peut pas suivre, avant d’y être contraint. Nous en parlons dans Mises à jour des bornes et du pare-feu : pourquoi il faut s’en occuper.
Ce que fait SateLink
SateLink Solution est une entreprise indépendante, sans lien avec Fortinet. Que votre pare-feu vienne de nous ou d’ailleurs, Romuald et son équipe peuvent vérifier avec vous les versions en place, ce que le réseau laisse voir depuis Internet et qui détient les accès d’administration. Avec la maintenance Sérénité, le réseau que nous suivons est supervisé à distance, les mises à jour critiques sont appliquées et les failles connues surveillées.
Pour l’ensemble des protections d’un réseau de PME (réseaux séparés, règles de pare-feu, accès à distance, mises à jour), lisez le guide de la cybersécurité du réseau pour une PME, et pour les règles elles-mêmes, Règles de pare-feu : ce qu’une PME devrait bloquer et autoriser.
En résumé
- La CISA a inscrit deux failles de FortiOS parmi les failles exploitées : CVE-2025-25249 le 9 septembre 2026, CVE-2025-61624 le 16 octobre 2026.
- La première ne demande aucun identifiant ; la seconde demande un compte d’administrateur.
- Versions à viser : 7.6.5 ou plus, 7.4.10 ou plus ; les branches 7.2, 7.0 et 6.4 doivent migrer.
- En attendant, Fortinet décrit des contournements pour la première faille, et l’accès d’administration se restreint.
Pour savoir où en est votre pare-feu, l’appel de cadrage est gratuit : trente minutes pour relever ses versions et ce qu’il laisse voir.
