![]()
Fortinet已发布安全更新,修复影响FortiClientEMS的关键漏洞,该漏洞可能导致在易受攻击的系统上执行任意代码。
该漏洞编号为CVE-2026-21643,CVSS评分为9.1分(满分10.0分)。
Fortinet在公告中表示:"FortiClientEMS中存在SQL命令特殊元素处理不当的漏洞('SQL注入')[CWE-89],可能允许未经身份验证的攻击者通过特制的HTTP请求执行未授权的代码或命令。"
该缺陷影响以下版本:
FortiClientEMS 7.2版本(不受影响)
FortiClientEMS 7.4.4版本(需升级至7.4.5或更高版本)
FortiClientEMS 8.0版本(不受影响)
Fortinet产品安全团队的Gwendal Guégniaud发现并报告了这一漏洞。
虽然Fortinet未提及该漏洞已在实际环境中被利用,但用户仍需尽快应用修复程序。
此前,该公司还修复了FortiOS、FortiManager、FortiAnalyzer、FortiProxy、FortiWeb中的另一个关键严重漏洞(CVE-2026-24858,CVSS评分:9.4)。该漏洞允许拥有FortiCloud账户和已注册设备的攻击者,在其他设备启用FortiCloud单点登录认证时,登录到注册在其他账户下的设备。
Fortinet已确认该问题被恶意行为者积极利用,用于创建本地管理员账户以维持持久性访问,修改配置为这些账户授予VPN访问权限,并窃取防火墙配置信息。
Q&A
Q1:CVE-2026-21643漏洞有多严重?
A:CVE-2026-21643是一个关键级别的SQL注入漏洞,CVSS评分高达9.1分(满分10.0分)。该漏洞允许未经身份验证的攻击者通过特制HTTP请求在FortiClientEMS系统上执行任意代码或命令,安全风险极高。
Q2:哪些FortiClientEMS版本受到这个SQL注入漏洞影响?
A:目前只有FortiClientEMS 7.4.4版本受到CVE-2026-21643漏洞影响,需要升级到7.4.5或更高版本。FortiClientEMS 7.2和8.0版本不受此漏洞影响,用户可以正常使用。
Q3:Fortinet最近还修复了哪些其他严重安全漏洞?
A:Fortinet还修复了CVE-2026-24858漏洞(CVSS评分9.4),影响FortiOS、FortiManager、FortiAnalyzer等多款产品。该漏洞已被恶意利用,攻击者可创建管理员账户、获取VPN访问权限并窃取防火墙配置。
特别声明:以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布,本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.