Fortinet, FortiClient Windows, FortiClient Mac ve FortiClient Windows PAM ürünlerinde kullanıcının bir işlem yapmasıyla uzaktan yetkisiz kod veya komut çalıştırılmasına yol açabilen kritik açık (CVE-2026-121529) için 10 Kasım 2026'da güvenlik güncellemesi yayımladı. FG-IR-26-194 numaralı bildirimde kaynak (origin) doğrulama hatası (CWE-346) olarak tanımlanan zafiyetin önem derecesi kritik, CVSS puanı ise 9,1 olarak açıklandı.
Fortinet'e göre kimliği doğrulanmamış uzaktaki bir saldırgan bu açığı kullanabiliyor, ancak tetiklenmesi için kurbanın etkileşimi gerekiyor. Açığın saldırılarda kullanıldığı bilinmiyor ve zafiyet için sanal yama bulunmuyor.
Açık nasıl çalışıyor
Zafiyeti Baldur Security'den Kevin Joensen bildirdi. Cybersecurity News'e göre araştırmacı açığa «Fortinet2Shell» adını verdi ve kök nedenin çapraz kaynak paylaşımı (CORS) ayarlarının fazla gevşek bırakılması olduğunu ortaya koydu.
Bu hata nedeniyle saldırganın denetimindeki bir web sayfası, kurbanın bilgisayarında çalışan yerel FortiClient hizmetine istek gönderip kod çalıştırtabiliyor. Cybersecurity News'e göre kurbanın tek yapması gereken zararlı sayfayı açmak; araştırmacı güvenilir kod çalıştırma işlemini doğruladı ve teknik ayrıntılar yayımlandı.
Hangi sürümler etkileniyor
Fortinet bildirimine göre açıktan etkilenen sürümler ve çözüm sürümleri şöyle:
- FortiClient Windows ve FortiClient Mac 7.4.0-7.4.7 (çözüm: 7.4.8 veya üstü)
- FortiClient Windows 7.2.0-7.2.14 (çözüm: 7.2.15 veya üstü)
- FortiClient Windows PAM 7.4.0-7.4.7 ve 7.2.0-7.2.14
FortiClient 8.0 sürümleri ve FortiClient Mac 7.2 sürümü bu açıktan etkilenmiyor.
Etkilenen cihaz nasıl anlaşılır
Cybersecurity News'e göre araştırmacı, Windows'ta TCP 9191 portunu dinleyen bir hizmetin ve çalışan FortiVRS.exe sürecinin açığa maruz kalma işareti olabileceğini belirtti. Ancak bu süreç ve portun varlığı cihazın saldırıya uğradığını göstermiyor.
Türkiye açısından
Fortinet aynı gün FortiManager'daki CVSS 9,0 dereceli yetkilendirme açığını (CVE-2026-126261) da duyurdu. Siber Güvenlik Başkanlığı, FortiManager açığı için 11 Kasım 2026'da TR-26-1509 bildirimini yayımladı ve güncellemelerin incelenmesini tavsiye etti.
Şirketlerde VPN erişimi ve uç nokta koruması için kullanılan bir istemci olan FortiClient'taki CVE-2026-121529 açığı, çalışanın tarayıcıda zararlı bir sayfayı açmasıyla tetiklenebiliyor. Fortinet'e göre bu açık için tek çözüm düzeltilmiş sürüme geçilmesi.
Kaynaklar
- Fortinet PSIRT, FG-IR-26-194 Origin validation error in local API endpoint, 10 Kasım 2026
- Cybersecurity News, Critical Fortinet2Shell Vulnerability Enables RCE Attacks in FortiClient, 11 Kasım 2026
- Siber Güvenlik Başkanlığı, TR-26-1509 Fortinet FortiManager Güvenlik Bildirimi, 11 Kasım 2026
- OpenAdvisories, Fortinet PSIRT Monthly Advisories November 2026
Kapak görseli: «Fortinet exhibition stall», Dev Jadiya, Wikimedia Commons, CC BY-SA 4.0 (kırpıldı, 1200x675).
