This post is also available in: Português
A CVE-2026-126170 é uma vulnerabilidade crítica de injeção de JSON na API JRPC de produtos da Fortinet. Com pontuação CVSS 9.8, a falha pode permitir que um atacante remoto execute código ou comandos sem autenticação por meio de uma requisição HTTP especialmente preparada. Para que haja exposição, a instalação precisa executar uma versão afetada e ter a API JSON habilitada e acessível ao atacante.
A Fortinet divulgou a vulnerabilidade em 10 de novembro de 2026, no boletim FG-IR-26-219. Para o FortiManager e o FortiAnalyzer da série 7.6, a correção começa na versão 7.6.8. Na série 8.0, a 8.0.3 foi indicada como a primeira versão corretiva e ainda estava prevista na data do alerta. Para instalações que aguardam a atualização, o fabricante orienta desabilitar o acesso à API JSON onde o procedimento se aplica.
Fortinet e os produtos afetados
A Fortinet desenvolve soluções de segurança de redes, gerenciamento centralizado e análise de eventos. Entre os produtos afetados pela vulnerabilidade, o FortiManager é usado para administrar dispositivos e políticas de segurança. Em operações com vários firewalls FortiGate, por exemplo, a plataforma permite padronizar configurações e distribuir alterações a partir de um único console.
O FortiAnalyzer centraliza logs e eventos de segurança, apoiando o monitoramento, a geração de relatórios e a investigação de incidentes. O alerta também abrange as variantes FortiManager Cloud e FortiAnalyzer Cloud, a interface gráfica do FortiAnalyzer Big Data e o FortiSASE-Sovereign.
Como funciona a injeção de JSON na API JRPC
A API JRPC permite que sistemas externos solicitem operações à plataforma por meio de mensagens estruturadas em JSON. Esse tipo de interface é usado em integrações e automações que consultam informações ou executam tarefas administrativas.
A causa da vulnerabilidade foi classificada como CWE-116, categoria que descreve a codificação ou o escape inadequado de dados de saída. O escape preserva a estrutura de uma mensagem ao indicar que determinados caracteres fazem parte de um valor. Quando esse tratamento falha, o componente que recebe a mensagem pode interpretar parte dos dados como instruções ou elementos da própria estrutura. Nos produtos afetados, essa falha de interpretação pode levar à execução de código ou comandos sem que o atacante tenha iniciado uma sessão autenticada.
Por que a CVE-2026-126170 recebeu CVSS 9.8
A pontuação 9.8 no CVSS 3.1 coloca a vulnerabilidade na faixa crítica. A avaliação considera que a exploração pode ocorrer pela rede, tem baixa complexidade e dispensa tanto credenciais quanto interação de usuários.
O impacto operacional depende da função do sistema comprometido. No FortiManager, a execução de código pode colocar em risco as configurações e políticas administradas pelo console. No FortiAnalyzer, pode afetar os registros usados pelas equipes para detectar atividades suspeitas e investigar incidentes.
Instâncias com a API habilitada e acessível pela internet merecem prioridade. A exposição também pode existir em redes internas quando a interface pode ser alcançada a partir de segmentos que um atacante já tenha conseguido acessar. Na data da divulgação, a Fortinet informava que não havia exploração conhecida da vulnerabilidade.
Produtos e versões afetados pela CVE-2026-126170
No FortiManager e no FortiAnalyzer, a falha afeta as versões 7.6.0 a 7.6.7 e 8.0.0 a 8.0.2. A série 7.6 recebe a correção a partir da 7.6.8. Para a série 8.0, a versão corretiva indicada é a 8.0.3, ainda prevista na data do alerta. As séries 7.2 e 7.4 desses dois produtos estão fora do escopo desta CVE.
O FortiManager Cloud e o FortiAnalyzer Cloud também estão no escopo da CVE-2026-126170, com versões afetadas nas séries 7.6 e 8.0. Para essas variantes, consulte o boletim FG-IR-26-219 da Fortinet para verificar a faixa afetada e a orientação de correção aplicável ao serviço.
Na interface gráfica do FortiAnalyzer Big Data, as versões afetadas vão da 7.6.0 à 7.6.2. A correção foi indicada para a 7.6.3, ainda prevista na data do alerta.
Para o FortiSASE-Sovereign, a orientação para as séries 25, 25.3 e 25.4 é migrar para uma versão corrigida. A Fortinet aplicou a correção à série 26.2 antes do lançamento, sem necessidade de ação por parte dos clientes nessa versão.
Como corrigir ou mitigar a vulnerabilidade
O primeiro passo é cruzar o inventário dos produtos e versões com a configuração da API JSON. A interface vem desabilitada por padrão. Por isso, vale verificar os perfis administrativos em uso, especialmente quando há integrações com ferramentas de terceiros, scripts ou rotinas de automação.
Onde a correção estiver disponível, a orientação é atualizar pela rota indicada para o produto. Enquanto a atualização estiver pendente, a medida temporária é remover a permissão de acesso à API JSON dos perfis administrativos em que ela estiver habilitada, conforme o procedimento da Fortinet. Como a alteração pode interromper integrações que dependem da interface, a equipe deve identificar essas dependências antes da mudança e verificar as rotinas essenciais depois dela.
Restringir o acesso às interfaces de gerenciamento a redes administrativas autorizadas ajuda a reduzir a exposição. Se uma instância vulnerável ficou acessível a redes não confiáveis com a API habilitada, a equipe de segurança deve preservar os registros disponíveis e revisar alterações inesperadas em perfis, políticas, configurações e integrações. Essa análise ajuda a identificar possíveis sinais de comprometimento durante o período de exposição.
This post is also available in: Português
