Fortinet : failles activement exploitées

Produits concernés

• FortiOS9
• Plusieurs produits6
• FortiOS et FortiProxy4
• FortiClient EMS3
• FortiWeb3
• FortiSandbox2
• FortiMail1
• FortiManager1
• FortiOS et FortiADC1
• FortiOS et FortiProxy SSL-VPN1

Nos analyses

CybersécuritéNiveau d'alerte 4 sur 5 : Prioritaire

FortiMail : une faille critique exploitée avant tout correctif (CVE-2026-104286)

Fortinet alerte sur une faille de FortiMail notée 9,8/10, exploitée avant tout correctif. Les versions corrigées sont désormais disponibles sur toutes les branches maintenues : voici les branches touchées, le contournement à appliquer et les indicateurs de compromission.

11 oct. 20262 min de lecture

Alertes et avis du CERT-FR

Publications récentes du CERT-FR qui nomment cet éditeur (alertes : menace immédiate ; avis : correctifs publiés).

1. CERTFR-2026-AVI-12572 oct.

   Vulnérabilité dans Fortinet FortiMail (02 octobre 2026)

2. CERTFR-2025-ALE-00613 mai 2025

   Vulnérabilité dans les produits Fortinet (13 mai 2025)

3. CERTFR-2025-ALE-00411 avr. 2025

   Activités de post-exploitation dans Fortinet FortiGate (11 avril 2025)

4. CERTFR-2025-ALE-00214 janv. 2025

   [MàJ] Vulnérabilité dans les produits Fortinet (14 janvier 2025)

5. CERTFR-2024-ALE-01423 oct. 2024

   [MàJ] Multiples vulnérabilités dans Fortinet FortiManager (23 octobre 2024)

6. CERTFR-2024-ALE-0049 févr. 2024

   [MàJ] Vulnérabilité dans Fortinet FortiOS (09 février 2024)

Toutes les failles exploitées

Catalogue KEV de la CISA, de la plus récente à la plus ancienne : chaque entrée correspond à une exploitation constatée. Intitulés traduits à partir de ceux de la CISA.

2026 8 failles

1. CVE-2026-104286ajoutée le 1 oct.

   Traversée de répertoires dans Fortinet FortiMail

   Notre article : FortiMail : une faille critique exploitée avant tout correctif (CVE-2026-104286)

   Fiche NVDCatalogue CISA

2. CVE-2025-25249ajoutée le 9 sept.

   Dépassement de tampon dans le tas dans plusieurs produits Fortinet

   Fiche NVDCatalogue CISA

3. CVE-2025-68686ajoutée le 27 juil.

   Exposition d’informations sensibles (to an Unauthorized Actor) dans Fortinet FortiOS

   Fiche NVDCatalogue CISA

4. CVE-2026-39808ajoutée le 16 juil.

   Injection de commandes système dans Fortinet FortiSandbox

   Fiche NVDCatalogue CISA

5. CVE-2026-25089ajoutée le 16 juil.

   Injection de commandes système dans Fortinet FortiSandbox

   Fiche NVDCatalogue CISA

6. CVE-2026-21643ajoutée le 13 avr.

   Injection SQL dans Fortinet FortiClient EMS

   Fiche NVDCatalogue CISA

7. CVE-2026-35616ajoutée le 6 avr.

   Contrôle d’accès défaillant dans Fortinet FortiClient EMS

   Fiche NVDCatalogue CISA

8. CVE-2026-24858ajoutée le 27 janv.

   Contournement d’authentification dans plusieurs produits Fortinet

   Fiche NVDCatalogue CISA

2025 8 failles

1. CVE-2025-59718ajoutée le 16 déc. 2025

   Vérification de signature cryptographique défaillante dans plusieurs produits Fortinet

   Fiche NVDCatalogue CISA

2. CVE-2025-58034ajoutée le 18 nov. 2025

   Injection de commandes système dans Fortinet FortiWeb

   Fiche NVDCatalogue CISA

3. CVE-2025-64446ajoutée le 14 nov. 2025

   Traversée de répertoires dans Fortinet FortiWeb

   Fiche NVDCatalogue CISA

4. CVE-2025-25257ajoutée le 18 juil. 2025

   Injection SQL dans Fortinet FortiWeb

   Fiche NVDCatalogue CISA

5. CVE-2019-6693Exploitée par des rançongicielsajoutée le 25 juin 2025

   Identifiants codés en dur dans Fortinet FortiOS

   Fiche NVDCatalogue CISA

6. CVE-2025-32756ajoutée le 14 mai 2025

   Dépassement de tampon dans la pile dans plusieurs produits Fortinet

   Fiche NVDCatalogue CISA

7. CVE-2025-24472Exploitée par des rançongicielsajoutée le 18 mars 2025

   Contournement d’authentification dans Fortinet FortiOS and FortiProxy

   Fiche NVDCatalogue CISA

8. CVE-2024-55591Exploitée par des rançongicielsajoutée le 14 janv. 2025

   Contournement d’authentification dans Fortinet FortiOS and FortiProxy

   Fiche NVDCatalogue CISA

2024 4 failles

1. CVE-2024-47575ajoutée le 23 oct. 2024

   Absence d’authentification dans Fortinet FortiManager

   Fiche NVDCatalogue CISA

2. CVE-2024-23113ajoutée le 9 oct. 2024

   Vulnérabilité « Format String » dans plusieurs produits Fortinet

   Fiche NVDCatalogue CISA

3. CVE-2023-48788Exploitée par des rançongicielsajoutée le 25 mars 2024

   Injection SQL dans Fortinet FortiClient EMS

   Fiche NVDCatalogue CISA

4. CVE-2024-21762Exploitée par des rançongicielsajoutée le 9 févr. 2024

   Vulnérabilité « Out-of-Bound Write » dans Fortinet FortiOS

   Fiche NVDCatalogue CISA

2023 2 failles

1. CVE-2023-27997Exploitée par des rançongicielsajoutée le 13 juin 2023

   Dépassement de tampon dans le tas dans Fortinet FortiOS and FortiProxy SSL-VPN

   Fiche NVDCatalogue CISA

2. CVE-2022-41328ajoutée le 14 mars 2023

   Traversée de répertoires dans Fortinet FortiOS

   Fiche NVDCatalogue CISA

2022 5 failles

1. CVE-2022-42475Exploitée par des rançongicielsajoutée le 13 déc. 2022

   Dépassement de tampon dans le tas dans Fortinet FortiOS

   Fiche NVDCatalogue CISA

2. CVE-2022-40684Exploitée par des rançongicielsajoutée le 11 oct. 2022

   Contournement d’authentification dans plusieurs produits Fortinet

   Fiche NVDCatalogue CISA

3. CVE-2018-13374Exploitée par des rançongicielsajoutée le 8 sept. 2022

   Contrôle d’accès défaillant dans Fortinet FortiOS and FortiADC

   Fiche NVDCatalogue CISA

4. CVE-2018-13383Exploitée par des rançongicielsajoutée le 10 janv. 2022

   Écriture hors limites dans Fortinet FortiOS and FortiProxy

   Fiche NVDCatalogue CISA

5. CVE-2018-13382Exploitée par des rançongicielsajoutée le 10 janv. 2022

   Contrôle d’autorisation défaillant dans Fortinet FortiOS and FortiProxy

   Fiche NVDCatalogue CISA

2021 4 failles

1. CVE-2021-44168ajoutée le 10 déc. 2021

   Vulnérabilité « Arbitrary File Download » dans Fortinet FortiOS

   Fiche NVDCatalogue CISA

2. CVE-2020-12812Exploitée par des rançongicielsajoutée le 3 nov. 2021

   Authentification défaillante (SSL VPN) dans Fortinet FortiOS

   Fiche NVDCatalogue CISA

3. CVE-2019-5591Exploitée par des rançongicielsajoutée le 3 nov. 2021

   Vulnérabilité « Default Configuration » dans Fortinet FortiOS

   Fiche NVDCatalogue CISA

4. CVE-2018-13379Exploitée par des rançongicielsajoutée le 3 nov. 2021

   Traversée de répertoires (SSL VPN) dans Fortinet FortiOS

   Fiche NVDCatalogue CISA