CVE-2026-126170 : FortiManager et FortiAnalyzer RCE JSON injection

Les faits

CVE-2026-126170 est une vulnérabilité critique de type injection JSON (CWE-116) affectant l'API JSON-RPC commune à FortiManager et FortiAnalyzer, les solutions centrales de gestion et d'analyse de sécurité de Fortinet. Avec un score CVSS 9.8 (vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), cette faille permet à un attaquant distant non authentifié d'exécuter du code arbitraire ou des commandes système sur les équipements cibles lorsque l'accès à l'API JSON est activé. L'advisory Fortinet FG-IR-26-219 a été publié le 10 novembre 2026, et des preuves de concept publiques ont émergé sur GitHub et des plateformes d'exploit en l'espace de 24 heures.

La root cause de la vulnérabilité est une neutralisation insuffisante des caractères spéciaux dans le moteur de traitement JSON-RPC de FortiManager et FortiAnalyzer (CWE-116 : improper encoding or escaping of output). Lorsqu'une requête JSON-RPC malformée est envoyée au service API, certains caractères de contrôle ne sont pas correctement neutralisés avant d'être interprétés, permettant à un attaquant de sortir du contexte JSON attendu et d'injecter des commandes supplémentaires qui seront exécutées par le processus serveur avec ses privilèges élevés.

FortiManager et FortiAnalyzer sont des composants stratégiques dans les architectures de sécurité utilisant les équipements Fortinet : ils centralisent la gestion de milliers de FortiGate, FortiSwitch et FortiAP, stockent les politiques de sécurité de l'ensemble du réseau, et collectent les logs de sécurité de toute l'infrastructure. Une compromission de ces systèmes donne à l'attaquant une visibilité totale sur l'architecture réseau, la capacité de modifier les règles de pare-feu, et potentiellement d'accéder aux configurations complètes de tous les équipements managés.

Un élément crucial de contexte : l'API JSON-RPC est désactivée par défaut dans les configurations standards de FortiManager et FortiAnalyzer. Cependant, de nombreuses organisations l'activent pour permettre l'automatisation via des scripts de gestion, des intégrations SOAR/SIEM, ou des outils tiers de gestion de la configuration. Dans les environnements où cette API est exposée, même sur des segments réseau internes, le risque est critique.

L'advisory FG-IR-26-219 de Fortinet liste également CVE-2026-126260, une vulnérabilité SSRF (Server-Side Request Forgery) CVSS 9.0 sur FortiAnalyzer et FortiManager, divulguée le même jour. Cette deuxième faille, bien que de criticité légèrement inférieure, peut être chaînée avec CVE-2026-126170 pour amplifier l'impact d'une attaque, notamment en permettant à un attaquant d'atteindre des systèmes internes autrement non accessibles depuis l'extérieur via le serveur FortiManager compromis.

La rapidité avec laquelle les PoC ont émergé — plusieurs dépôts GitHub et entrées sur Sploitus dans les 24 heures suivant la divulgation — indique que la vulnérabilité est relativement simple à exploiter une fois le mécanisme d'injection compris. Les chercheurs ayant analysé ces PoC confirment qu'ils ciblent directement le point d'entrée JSON-RPC et permettent l'exécution de commandes système arbitraires.

En termes de correctifs, Fortinet a publié la version 7.6.8 pour la branche 7.6 de FortiManager et FortiAnalyzer. Pour la branche 8.0, la version 8.0.3 était encore en cours de finalisation au moment de la divulgation de l'advisory — les organisations sur cette branche doivent surveiller de près les publications Fortinet PSIRT pour le patch dès sa disponibilité. Les branches antérieures à 7.6 (7.4, 7.2, etc.) doivent être vérifiées séparément dans l'advisory officiel FG-IR-26-219.

Cette vulnérabilité s'inscrit dans un contexte préoccupant pour Fortinet : c'est la troisième fois en 2026 que des failles critiques sur FortiManager font l'objet d'une divulgation publique. Les acteurs malveillants ciblent de manière croissante les systèmes de management de sécurité, conscients que leur compromission offre un accès privilégié à l'ensemble de l'infrastructure réseau d'une organisation. Les groupes APT documentés — notamment ceux associés à des États-nations — ont démontré un intérêt particulier pour ce type de cibles à fort impact stratégique.

Impact et exposition

Toutes les organisations utilisant FortiManager ou FortiAnalyzer avec l'API JSON-RPC activée sont exposées. L'exposition est particulièrement critique lorsque le port d'administration JSON-RPC (généralement TCP 443 ou un port dédié) est accessible depuis Internet ou depuis des zones réseau non fiables. Même dans des configurations où l'API est limitée au réseau interne, une compromission préalable d'un système sur ce réseau permet d'exploiter la vulnérabilité en mouvement latéral.

L'impact d'une exploitation réussie est maximal : l'attaquant obtient un accès root ou administrateur sur FortiManager, lui permettant de lire toutes les configurations réseau, de modifier les politiques de sécurité de l'ensemble de l'infrastructure FortiGate managée, de désactiver des règles IPS/IDS critiques, et d'extraire les credentials stockés pour les équipements managés. Dans les secteurs financier, de la santé ou des opérateurs d'importance vitale (OIV), ce type de compromission peut déclencher une obligation de notification réglementaire.

Les indicateurs indirects suggèrent que des acteurs de menace ont commencé à scanner activement des instances FortiManager/FortiAnalyzer exposées dans les heures suivant la publication des PoC. Les organisations doivent considérer que toute instance exposée non patchée et avec JSON-RPC activé a potentiellement déjà été ciblée.

Recommandations immédiates

• Désactiver immédiatement l'accès JSON-RPC non utilisé : dans FortiManager CLI, exécuter config system admin setting puis set rpc-permit none — c'est la mitigation prioritaire si le patch n'est pas encore applicable
• Mettre à jour vers FortiManager/FortiAnalyzer 7.6.8 (branche 7.6) ou 8.0.3 dès disponibilité (branche 8.0) — advisory : Fortinet PSIRT Advisory FG-IR-26-219
• Vérifier les logs d'accès JSON-RPC pour détecter des tentatives d'exploitation antérieures à la mise à jour
• Isoler les interfaces d'administration de FortiManager derrière un bastion ou un VPN avec authentification forte
• Vérifier l'intégrité des politiques de sécurité sur tous les FortiGate managés pour détecter des modifications non autorisées