Newshot 
Fortinet近日披露了影响FortiManager、FortiAnalyzer及FortiOS的多个高危安全漏洞，部分漏洞可导致攻击者无需登录即可在目标系统上执行代码。
本次漏洞公告发布于2026年11月10日，涉及管理API、设备通信服务、路由机制及特定高可用配置场景。不同漏洞的利用条件存在差异，企业需结合自身已开启的功能、网络暴露面评估实际受影响范围。
管理平面漏洞已修复，未授权可远程执行代码
其中严重等级最高的是CVE-2026-126170，CVSS评分为9.8，漏洞追踪编号为FG-IR-26-219。该漏洞存在于FortiManager和FortiAnalyzer使用的JSON-RPC API中，属于JSON注入漏洞。只要JSON API处于开启状态，未经身份验证的攻击者即可发送构造的请求，在目标系统上执行代码或系统命令。依赖该API实现自动化运维的系统需要重点排查。
另一个严重漏洞编号为CVE-2026-126261，追踪编号FG-IR-26-275，CVSS评分9.0，影响FortiManager的FGFM服务。该漏洞属于授权机制缺陷，只要攻击者能够访问FGFM服务端口，即可发送构造的数据包，可能在目标系统上执行代码。漏洞触发点位于注册密码验证流程之前，FGFM服务本身直接暴露在攻击路径上。
编号为CVE-2026-126262的漏洞追踪编号为FG-IR-26-276，CVSS评分9.3。开启FortiAnalyzer功能的FortiAnalyzer、FortiManager系统，其OFTP服务存在SQL注入风险。攻击者无需登录即可利用该漏洞，成功利用后可实现代码执行。企业在排查暴露面时，需要重点检查日志传输服务的访问控制情况。
本次漏洞公告距离10月的安全更新发布不久，此前Cyber Security News也曾就Fortinet的补丁推送发布过预警。Fortinet在公开详细漏洞公告前就已推送修复更新，为客户预留了升级窗口。但管理员需要注意，安装10月发布的版本并不能修复本次11月公告中的所有漏洞，不同漏洞、不同软件分支对应的修复版本存在差异。
针对CVE-2026-126261，Fortinet在FGFM服务的安全公告中列出了受影响版本：FortiManager 8.0.0、7.6.0-7.6.7、7.4.0-7.4.5、7.2.0-7.2.8。对应的修复版本分别为8.0.1、7.6.8、7.4.6、7.2.9。Fortinet表示，公告发布时暂未发现该漏洞存在在野利用活动。
编号为CVE-2026-126260的漏洞追踪编号为FG-IR-26-274，CVSS评分9.0，是OFTP服务的另一项风险。该漏洞属于预授权服务器端请求伪造缺陷，影响开启FortiAnalyzer功能的FortiAnalyzer、FortiManager系统。需要注意的是，该漏洞并不能直接导致远程代码执行，攻击者可利用它诱导服务器向外发起请求，与前述SQL注入漏洞的攻击路径完全不同。
这批漏洞也说明，仅防护浏览器登录页面远远不够。FGFM服务使用TCP 541端口，OFTP服务使用TCP 514端口，针对管理后台登录的访问控制策略无法直接保护这两个服务。此前已有FortiManager遭入侵的案例显示，攻击者一旦获取中央管理设备的访问权限，就可以窃取数百台托管防火墙关联的敏感信息。
路由与权限机制存缺陷，特定场景存在安全风险
本次更新还修复了FortiOS的多个路由相关漏洞。其中CVE-2026-126254的CVSS评分为9.6，存在于FortiOS的BGP协议处理流程中，属于数字截断类漏洞。攻击者需要从已配置的iBGP邻居位置发送流量，才能触发该漏洞的利用。
CVE-2026-126253的CVSS评分为9.3，属于OSPF认证绕过漏洞。攻击者可利用该漏洞发送伪造的路由通告。这类漏洞属于路由层面的风险，与前述管理服务器的代码执行漏洞性质不同，不可混为一谈。
权限类漏洞共两个。CVE-2026-126229的CVSS评分为9.1，已通过认证的管理员可借助该漏洞访问权限范围外的其他虚拟域（VDOM）。CVE-2026-126259的CVSS评分为9.0，在特定FortiOS部署场景下——包括采用独立配置同步的FGSP架构、受影响的自动扩缩容配置——攻击者可获取超级管理员权限执行命令。这两个漏洞都不会影响所有部署场景，企业需结合自身配置判断风险。
Fortinet在安全更新指引中建议客户优先修复公网暴露的系统，提前备份配置，持续监控未授权配置变更。针对CVE-2026-126170，使用8.0版本分支的用户需要特别注意，公告发布时8.0.3修复版本仍在准备中。管理员在核对最新公告、规划升级方案期间，可以通过执行set rpc-permit none命令关闭闲置的JSON API访问权限，降低受攻击风险。
Critical Fortinet Flaws Expose FortiManager and FortiAnalyzer to Remote Code Execution Without Login