Fortinet phát hành bản vá tháng 4/2026, xử lý 11 lỗ hổng nghiêm trọng

[WhiteHat Team]

Ngày 14/4/2026, hãng bảo mật Fortinet đã phát hành loạt bản vá định kỳ nhằm xử lý 11 lỗ hổng an ninh trải rộng trên nhiều sản phẩm chủ lực, bao gồm FortiSandbox, FortiOS, FortiAnalyzer, FortiManager, FortiProxy, FortiPAM và FortiSwitchManager. Đáng chú ý, danh sách này xuất hiện hai lỗ hổng được xếp hạng nghiêm trọng và hai lỗ hổng mức độ cao, buộc các quản trị viên hệ thống doanh nghiệp phải ưu tiên triển khai bản vá ngay lập tức để ngăn chặn nguy cơ bị tấn công từ xa.
​

Tâm điểm của đợt công bố là hai lỗ hổng nghiêm trọng trong FortiSandbox và FortiSandbox PaaS, có khả năng dẫn đến kiểm soát hệ thống nếu bị khai thác thành công.​

• CVE-2026-39808 (FG-IR-26-100): Lỗi chèn lệnh hệ điều hành trong API, bắt nguồn từ việc xử lý không đúng các ký tự đặc biệt trong lệnh hệ thống. Lỗ hổng tồn tại trên FortiSandbox phiên bản 4.4.4 đến 4.4.8 và FortiSandbox PaaS đến 23.4.4374, cho phép kẻ tấn công chưa xác thực thực thi lệnh tùy ý trên máy chủ nền.​
• CVE-2026-39813 (FG-IR-26-112): Liên quan đến lỗi path traversal trong JRPC API của FortiSandbox. Lỗ hổng ảnh hưởng các phiên bản 5.0.1 đến 5.0.5, có thể cho phép vượt qua cơ chế xác thực và leo thang đặc quyền mà không cần thông tin đăng nhập hợp lệ, làm gia tăng đáng kể mức độ rủi ro đối với các hệ thống triển khai thực tế.​

Phân khúc giải pháp cloud cũng ghi nhận những rủi ro đáng kể với sự xuất hiện của lỗ hổng CVE-2026-22828 ảnh hưởng đến FortiAnalyzer Cloud và FortiManager Cloud. Lỗ hổng liên quan đến lỗi tràn bộ nhớ trên vùng heap trong tiến trình oftpd, cho phép kẻ tấn công từ bên ngoài, ngay cả khi chưa xác thực, có thể thực thi mã tùy ý hoặc gây gián đoạn dịch vụ. Việc có thể khai thác trực tiếp qua mạng mà không cần tài khoản truy cập khiến lỗ hổng này trở thành mục tiêu đáng chú ý trong các chiến dịch tấn công nhắm vào hạ tầng quản trị tập trung của doanh nghiệp.

Bên cạnh đó, hãng cũng cảnh báo về những lỗ hổng trong cơ chế xác thực và kiểm soát truy cập. Điển hình là CVE-2025-53847 trên FortiOS và FortiSwitchManager, cho phép kẻ tấn công trong mạng nội bộ truy cập các chức năng quan trọng của tiến trình CAPWAP mà không cần xác thực. Đối với các tổ chức vận hành môi trường mạng phân đoạn, việc chưa kịp thời vá lỗi có thể tạo điều kiện cho hoạt động di chuyển ngang trong hệ thống.

Ngoài ra, Fortinet cũng xử lý nhiều lỗ hổng path traversal, XSS và SQL injection trên nhiều dòng sản phẩm. Các lỗ hổng đáng chú ý bao gồm:​

• CVE-2026-25691: Lỗi path traversal trong tính năng xóa vmimages của FortiSandbox, cho phép người dùng GUI đã xác thực xóa thư mục tùy ý​
• CVE-2025-68649: Ảnh hưởng FortiAnalyzer, FortiAnalyzer Cloud, FortiManager và FortiManager Cloud qua giao diện CLI trên các nhánh 7.6.x và 7.4.x​
• CVE-2025-61624: Tác động đến FortiOS, FortiPAM, FortiProxy và FortiSwitchManager thông qua các thành phần CLI trên nhiều phiên bản​

Fortinet khuyến cáo các tổ chức nhanh chóng cập nhật bản vá cho các lỗ hổng có thể bị khai thác từ xa hoặc không cần xác thực, nhằm giảm thiểu nguy cơ bị tấn công và gián đoạn hệ thống. Các nhóm lỗ hổng còn lại trên toàn bộ hệ sinh thái sản phẩm cũng được khuyến cáo cập nhật theo hướng dẫn từ cổng PSIRT của hãng để giảm thiểu nguy cơ bị khai thác trong thực tế.
​

Theo Cyber Security News​