Faille critique Fortinet CVE-2026-32756 : exploitation

Détails techniques de la CVE-2026-32756

La vulnérabilité réside dans le traitement des requêtes POST envoyées au portail SSL-VPN de FortiOS. Un attaquant non authentifié peut envoyer une requête spécialement conçue déclenchant un heap buffer overflow dans le processus sslvpnd, permettant l exécution de code avec les privilèges root.

Indicateurs de compromission observés

Les équipes de threat intelligence de Mandiant et Volexity ont identifié les indicateurs suivants associés à l exploitation de cette faille :

• Fichiers suspects dans /data2/ : localnet.py, sslvpnd.bak
• Connexions sortantes vers des C2 hébergés sur des VPS Cloudflare Workers
• Création de comptes admin locaux avec des noms aléatoires
• Modification du fichier /etc/init.d/sslvpnd pour assurer la persistance

Recommandations de remédiation (2)

1. Patcher immédiatement vers FortiOS 7.4.7+ ou 7.2.12+
2. Vérifier l intégrité : comparer les hash des fichiers système avec les versions officielles
3. Analyser les logs : rechercher les connexions SSL-VPN suspectes des 30 derniers jours
4. Réinitialiser les credentials : changer tous les mots de passe admin et les certificats VPN
5. Scanner le réseau interne : vérifier l absence de mouvement latéral post-exploitation

Cette vulnérabilité rappelle l importance d un programme de gestion des vulnérabilités rigoureux et d une surveillance continue via un SIEM/SOC pour détecter les exploitations en temps réel.

Vecteur d'attaque et chaîne d'exploitation

L'analyse technique menée par les équipes de Volexity révèle une chaîne d'exploitation en trois temps. L'attaquant envoie d'abord une requête HTTP POST malformée vers l'endpoint /remote/fgt_lang du portail SSL-VPN, sans nécessiter de session authentifiée. Le dépassement de tampon qui en résulte permet d'écraser des zones mémoire adjacentes contrôlant le flux d'exécution du processus sslvpnd, ouvrant la voie à l'injection d'un shellcode qui télécharge un second stage depuis une infrastructure C2 externe. Cette technique rappelle fortement le mode opératoire observé lors de l'exploitation de CVE-2024-21762, autre faille SSL-VPN de FortiOS activement exploitée par des groupes chinois avant sa divulgation publique — un précédent qui confirme l'attractivité durable de ce composant pour les attaquants étatiques.

Ampleur de l'exposition

Selon les données de scan Shodan et Censys croisées début 2026, plus de 48 000 instances FortiGate exposaient encore un portail SSL-VPN accessible publiquement au moment de la divulgation, dont environ 6 200 en France. Les secteurs les plus représentés parmi les cibles confirmées sont l'énergie, la santé et les collectivités territoriales — des organisations souvent contraintes par des cycles de patching longs en raison d'exigences de continuité de service. Le CERT-FR a recensé au moins 14 compromissions avérées sur le territoire national dans les dix jours suivant la publication du correctif, un rythme comparable à celui observé lors de la crise Log4Shell fin 2021.

Recommandations de remédiation

Au-delà du patching immédiat, la remédiation complète exige une démarche en plusieurs étapes, en particulier pour les équipements dont l'exposition à Internet remonte à plusieurs semaines :

• Réaliser un audit forensique complet avant toute mise à jour, car le patch ne supprime pas les artefacts déjà déposés par un attaquant — un simple redémarrage post-patch peut masquer une compromission active sans l'éradiquer.
• Vérifier l'intégrité des certificats SSL-VPN et des configurations d'authentification, les attaquants ayant été observés modifiant les paramètres SAML pour créer des portes dérobées persistantes.
• Auditer l'ensemble des comptes administrateurs locaux, y compris ceux désactivés, et révoquer les clés API générées récemment.
• Envisager, à défaut de désactivation totale du SSL-VPN exposé, une restriction d'accès par liste blanche d'adresses IP couplée à une authentification multifacteur obligatoire.
• Activer la journalisation détaillée vers un SIEM externe, les journaux locaux d'un équipement compromis pouvant être altérés par l'attaquant.

Cet épisode s'inscrit dans une tendance plus large de ciblage des équipements périmétriques par des acteurs étatiques et des groupes affiliés à des opérations de ransomware, qui exploitent le délai entre divulgation et patching effectif — souvent estimé entre 15 et 60 jours selon les études de Mandiant sur le temps moyen de remédiation (MTTR) en entreprise. Les organisations disposant d'un programme de gestion des vulnérabilités mature, incluant un inventaire exhaustif des actifs exposés, réduisent significativement leur fenêtre d'exposition face à ce type de faille zero-day exploitée avant publication du correctif.