Numéro de série : AV26-023
Date : 13 janvier 2026
Mise à jour : 9 septembre 2026
Le 13 janvier 2026, Fortinet a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à de multiples produits. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :
- FortiFone 7.0 – de la version 7.0.0 à 7.0.1;
- FortiFone 3.0 – de la version 3.0.13 à 3.0.23;
- FortiOS 7.6 – de la version 7.6.0 à 7.6.3;
- FortiOS 7.4 – de la version 7.4.0 à 7.4.8;
- FortiOS 7.2 – de la version 7.2.0 à 7.2.11;
- FortiOS 7.0 – de la version 7.0.0 à 7.0.17;
- FortiOS 6.4 – de la version 6.4.0 à 6.4.16;
- FortiSASE 25.2 – version 25.2.b;
- FortiSASE 25.1.a – 25.1.a.2;
- FortiSIEM 7.4 – version 7.4.0;
- FortiSIEM 7.3 – de la version 7.3.0 à 7.3.4;
- FortiSIEM 7.2 – de la version 7.2.0 à 7.2.6;
- FortiSIEM 7.1 – de la version 7.1.0 à 7.1.8;
- FortiSIEM 7.0 – de la version 7.0.0 à 7.0.4;
- FortiSIEM 6.7 – de la version 6.7.0 à 6.7.10;
- FortiSwitchManager 7.2 – de la version 7.2.0 à 7.2.6;
- FortiSwitchManager 7.0 – de la version 7.0.0 à 7.0.5;
Mise à jour 1
Le Cybersecurity and Infrastructure Security Agency (CISA) a ajouté la vulnérabilité CVE-2025-25249 à son catalogue de vulnérabilités exploitées connues (KEV) le 9 septembre 2026.
Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci‑dessous et d'appliquer les mises à jour nécessaires.
- Heap-based buffer overflow in cw_acd daemon – CVE-2025-25249 (en anglais seulement)
- Unauthenticated access to local configuration – CVE-2025-47855 (en anglais seulement)
- Unauthenticated remote command injection – CVE-2025-64155 (en anglais seulement)
- Fortinet PSIRT Advisories (en anglais seulement)
- CISA KEV: CVE-2025-25249 (en anglais seulement)