CVE-2026-106173 : Fortinet FortiSIEM RCE CVSS 9.4 PoC publié

Les faits

La vulnérabilité CVE-2026-106173, divulguée dans l'advisory de sécurité Fortinet du 13 octobre 2026, est une faille d'exécution de code à distance (RCE) sans authentification de score CVSS 3.1 de 9.4 affectant Fortinet FortiSIEM — la solution de gestion des informations et des événements de sécurité (SIEM) de Fortinet. Cette vulnérabilité est particulièrement préoccupante car elle affecte directement un équipement de sécurité censé monitorer et protéger l'infrastructure : la compromission d'un SIEM permet à l'attaquant non seulement de prendre le contrôle de la machine mais également de manipuler les logs de sécurité, de désactiver les alertes, et de couvrir ses traces dans l'ensemble de l'environnement supervisé.

Techniquement, CVE-2026-106173 est un path traversal dans le service gRPC phQueryMaster de FortiSIEM, accessible sur le port TCP 27918. Ce service gRPC est utilisé en interne pour la communication entre les composants FortiSIEM (Supervisor, Worker, Collector), mais il est exposé sans authentification sur le réseau. Un attaquant peut exploiter le path traversal pour écrire des fichiers arbitraires sur le système de fichiers du serveur FortiSIEM depuis une position réseau ayant accès au port 27918. La technique d'exploitation développée par les chercheurs de Horizon3.ai consiste à chaîner cette capacité d'écriture arbitraire avec l'écrasement de scripts exécutés par les tâches planifiées (cron jobs) de FortiSIEM, convertissant ainsi l'écriture de fichiers en exécution de code arbitraire avec les privilèges du serveur SIEM.

Le vecteur d'attaque CVSS est AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — réseau, complexité faible, aucun privilège requis, aucune interaction utilisateur, impact maximum sur la confidentialité, l'intégrité et la disponibilité. La chaîne d'exploitation décrite par Horizon3.ai implique deux étapes distinctes mais enchaînables : d'abord, l'exploitation du path traversal pour écrire un fichier malveillant à un emplacement stratégique (par exemple un script de tâche planifiée ou un plugin FortiSIEM) ; ensuite, l'attente de l'exécution automatique de ce fichier par le système, ou le déclenchement de cette exécution via une deuxième requête gRPC légitime qui déclenche le traitement du fichier écrit.

Fortinet a publié son advisory de sécurité FG-IR-2026-106173 le 13 octobre 2026, dans le cadre de son cycle mensuel de publication de correctifs de sécurité. L'advisory identifie FortiSIEM 7.5.0 comme la version affectée et indique que la correction est disponible dans FortiSIEM 7.5.1. Fortinet précise explicitement que FortiSIEM Cloud (la version SaaS) n'est pas affectée par CVE-2026-106173, ce qui limite l'exposition aux déploiements on-premise — qui représentent néanmoins la grande majorité des installations FortiSIEM dans les environnements d'entreprise et chez les opérateurs de services gérés (MSSP).

La situation a pris une tournure nettement plus urgente le 20 octobre 2026, lorsque la société de recherche en sécurité Horizon3.ai a publié un technical deep-dive complet accompagné d'un proof-of-concept (PoC) fonctionnel dans un dépôt GitHub public. Ce PoC démontre concrètement comment chaîner le path traversal gRPC avec l'exécution de commandes arbitraires sur un serveur FortiSIEM non patché. La publication d'un PoC public après un délai d'une semaine suivant l'advisory vendeur est conforme à la politique de divulgation responsable d'Horizon3.ai, mais elle crée une fenêtre d'opportunité immédiate pour des acteurs de menace moins sophistiqués qui peuvent désormais adapter le PoC sans nécessiter de compétences en recherche de vulnérabilités.

L'historique des vulnérabilités Fortinet en 2025 et 2026 constitue un contexte important pour évaluer la criticité de CVE-2026-106173. Les produits Fortinet — FortiOS, FortiGate, FortiManager, et maintenant FortiSIEM — ont été ciblés de manière répétée par des acteurs avancés, notamment des groupes APT liés à des États-nations. La CISA a publié plusieurs alertes concernant l'exploitation de vulnérabilités Fortinet dans les infrastructures critiques américaines. Cette historique d'attaques ciblées sur les produits Fortinet rend l'exploitation de CVE-2026-106173 par des acteurs sophistiqués particulièrement plausible, notamment dans le cadre d'opérations d'espionnage cherchant à compromettre les capacités de détection et de surveillance d'une cible.

D'un point de vue défensif, la compromission d'un SIEM est particulièrement grave pour les raisons suivantes : un SIEM centralisé reçoit les logs de l'ensemble des équipements de l'infrastructure, et son compromis permet à l'attaquant de supprimer ou modifier rétroactivement les logs, d'identifier les patterns d'alertes pour adapter son comportement, de découvrir la topologie réseau complète, et d'accéder aux identifiants utilisés pour l'intégration SIEM (credentials d'API, clés d'accès). Dans un contexte de réponse à incident, la compromission préalable du SIEM peut rendre toute l'investigation forensique compromise.

Le port TCP 27918 sur lequel est exposé le service gRPC vulnérable phQueryMaster est un port non standard qui n'est pas systématiquement bloqué par les règles de pare-feu par défaut sur les réseaux internes, notamment dans les environnements où FortiSIEM est déployé avec des Workers et des Collectors multiples nécessitant une communication inter-composants. Des scans Shodan menés après la publication du PoC Horizon3.ai ont identifié plusieurs centaines d'instances FortiSIEM avec le port 27918 accessible depuis Internet, représentant une surface d'attaque immédiate pour des exploitations automatisées.

Impact et exposition

Toute organisation ayant déployé Fortinet FortiSIEM en version 7.5.0 ou antérieure en mode on-premise est exposée à CVE-2026-106173. Le risque est particulièrement élevé si le port TCP 27918 est accessible depuis Internet ou depuis des zones réseau non fiables. Même restreint au réseau interne, la compromission d'un seul poste sur le LAN suffit à exploiter cette vulnérabilité pour prendre le contrôle complet du serveur FortiSIEM et, par extension, obtenir un accès en lecture aux logs et alertes de toute l'infrastructure supervisée.

Les secteurs les plus exposés sont les MSSP (Managed Security Service Providers) utilisant FortiSIEM pour gérer la sécurité de plusieurs clients, les grandes entreprises avec des déploiements FortiSIEM multi-sites, et les opérateurs d'infrastructures critiques ayant déployé FortiSIEM on-premise. Un MSSP compromis via CVE-2026-106173 représente un risque de supply chain pour l'ensemble de sa base de clients.

La publication du PoC public par Horizon3.ai rend l'exploitation accessible à des acteurs moins sophistiqués. Dans les jours suivant la publication d'un PoC, on observe classiquement une multiplication des tentatives d'exploitation automatisées, des intégrations dans des frameworks de pentest (Metasploit, Nuclei), et des rapports d'exploitation in-the-wild. Organizations non patchées doivent traiter cette vulnérabilité avec la même urgence qu'une exploitation active confirmée.

Recommandations immédiates

• Patcher vers FortiSIEM 7.5.1 immédiatement — Fortinet Security Advisory FG-IR-2026-106173 disponible sur le portail de support Fortinet
• Bloquer le port TCP 27918 (gRPC phQueryMaster) sur tous les pare-feux de périmètre et segments réseau où il n'est pas strictement nécessaire pour la communication inter-composants FortiSIEM
• Restreindre les communications sur le port 27918 exclusivement aux adresses IP des nœuds FortiSIEM légitimes (Supervisor, Workers, Collectors) via ACL réseau
• Vérifier les logs système du serveur FortiSIEM pour détecter des écriture de fichiers anormales dans les répertoires de scripts ou de tâches planifiées depuis le 13 octobre 2026
• Vérifier l'intégrité des tâches cron et des scripts d'automatisation FortiSIEM (commande crontab -l et inspection de /etc/cron.d/) pour détecter toute modification non autorisée
• FortiSIEM Cloud non affecté : aucune action requise pour les déploiements SaaS