Fortinet a publié un correctif d urgence pour la CVE-2026-32756, une vulnérabilité critique (CVSS 9.8) affectant FortiOS et FortiProxy. Cette faille de type buffer overflow dans le module SSL-VPN permet une exécution de code arbitraire à distance sans authentification. Des groupes APT exploitent activement cette vulnérabilité depuis au moins deux semaines, ciblant des organisations gouvernementales et des opérateurs d infrastructure critique en Europe. L ANSSI a émis une alerte CERTFR recommandant le patching immédiat de tous les équipements exposés.

Détails techniques de la CVE-2026-32756

La vulnérabilité réside dans le traitement des requêtes POST envoyées au portail SSL-VPN de FortiOS. Un attaquant non authentifié peut envoyer une requête spécialement conçue déclenchant un heap buffer overflow dans le processus sslvpnd, permettant l exécution de code avec les privilèges root.

AttributDétail
CVECVE-2026-32756
CVSS 3.19.8 (Critique)
VecteurAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produits affectésFortiOS 7.4.0-7.4.6, 7.2.0-7.2.11, FortiProxy 7.4.0-7.4.4
CorrectifFortiOS 7.4.7, 7.2.12, FortiProxy 7.4.5
ExploitationActive in-the-wild depuis mars 2026

Indicateurs de compromission observés

Les équipes de threat intelligence de Mandiant et Volexity ont identifié les indicateurs suivants associés à l exploitation de cette faille :

  • Fichiers suspects dans /data2/ : localnet.py, sslvpnd.bak
  • Connexions sortantes vers des C2 hébergés sur des VPS Cloudflare Workers
  • Création de comptes admin locaux avec des noms aléatoires
  • Modification du fichier /etc/init.d/sslvpnd pour assurer la persistance

Action urgente

Si vous utilisez un FortiGate exposé sur Internet avec le SSL-VPN activé, appliquez immédiatement le correctif. Si le patching n est pas possible sous 24h, désactivez le portail SSL-VPN et basculez sur IPsec comme solution temporaire. Vérifiez les logs d accès admin pour détecter toute création de compte suspecte.

Recommandations de remédiation

  1. Patcher immédiatement vers FortiOS 7.4.7+ ou 7.2.12+
  2. Vérifier l intégrité : comparer les hash des fichiers système avec les versions officielles
  3. Analyser les logs : rechercher les connexions SSL-VPN suspectes des 30 derniers jours
  4. Réinitialiser les credentials : changer tous les mots de passe admin et les certificats VPN
  5. Scanner le réseau interne : vérifier l absence de mouvement latéral post-exploitation

Cette vulnérabilité rappelle l importance d un programme de gestion des vulnérabilités rigoureux et d une surveillance continue via un SIEM/SOC pour détecter les exploitations en temps réel.

À retenir

Les appliances VPN (Fortinet, Palo Alto, Ivanti) restent les cibles prioritaires des groupes APT en 2026. Maintenez un inventaire à jour de vos équipements exposés et appliquez les correctifs critiques sous 48h maximum.

Sources : Fortinet PSIRT | CERT-FR ANSSI