Fortinet cảnh báo CVE-2026-126254 trong FortiOS và FortiSASE, cần nâng cấp

Fortinet công bố advisory về CVE-2026-126254 trong daemon BGP của FortiOS và FortiSASE. Lỗi có thể dẫn đến từ chối dịch vụ; các phiên bản bị ảnh hưởng và hướng xử lý được liệt kê dưới đây.

Tổng quan và thông tin kỹ thuật

Lỗi Numeric Truncation Error được định danh là CVE-2026-126254 và có mức điểm CVSSv3 9.6. Fortinet ghi nhận CWE-197 và trạng thái Known Exploited là No.

Phạm vi ảnh hưởng

Các dải FortiOS dưới đây bị ảnh hưởng. Nâng cấp lên phiên bản đã vá tương ứng hoặc phiên bản mới hơn trong nhánh.

FortiSASE 24.4, 24.3, 24.1, 23.4, 23.3, 23.2, 23.1 và 22.4 không bị ảnh hưởng. Với FortiSASE 26.3.1 và 26.3.1_a, Fortinet cho biết lỗi đã được khắc phục trong 26.3.2 và khách hàng không cần thực hiện thao tác.

Cơ chế và tác động

Một iBGP neighbor đã được cấu hình có thể gửi các thuộc tính độc hại hoặc sai định dạng tới tất cả router được kết nối bằng một yêu cầu được tạo đặc biệt. Hậu quả được nêu là từ chối dịch vụ; loại tấn công được ghi là authenticated.

Tình trạng khai thác

Fortinet ghi trạng thái Known Exploited: No. Advisory không nêu CVSS vector.

Kiểm tra hệ thống

1. Kiểm tra phiên bản FortiOS hiện đang chạy trên thiết bị bằng lệnh sau:

   Sao chép lệnh

   get system status

   Đối chiếu phiên bản hiển thị với các dải FortiOS bị ảnh hưởng. Nếu phiên bản nằm trong dải lỗi, nâng cấp lên phiên bản đã vá tương ứng.

Khắc phục và giảm thiểu

1. Nâng cấp FortiOS lên phiên bản đã vá tương ứng theo lộ trình nâng cấp Fortinet khuyến nghị. Fortinet khuyến nghị dùng Upgrade Tool để theo đúng lộ trình.

2. Với các nhánh FortiSASE bị ảnh hưởng, di chuyển sang bản phát hành đã vá. FortiSASE 26.3.1 và 26.3.1_a đã được khắc phục trong 26.3.2; khách hàng dùng hai phiên bản này không cần thao tác.

3. Bản vá ảo FG-VD-62507.0day có trong FMWP db update 26.118.

Nguồn tham khảo

• Fortinet PSIRT — FG-IR-26-268