Уязвимость improper locking в Fortinet FortiOS позволяет вызвать отказ HTTPS-интерфейса управления — CVE-2026-106174

В начале 2026 года в списке CVE был опубликован идентификатор CVE-2026-106174, описывающий уязвимость в операционной системе Fortinet FortiOS, используемой в продуктах линейки FortiGate и ряде других решений вендора. Проблема относится к классу ошибок синхронизации (improper locking) и может привести к нарушению доступности интерфейса управления.

Подробности

Согласно описанию CVE, уязвимость затрагивает Fortinet FortiOS 8.0.0, а также ветку FortiOS 7.6.4–7.6.6. Ошибка заключается в некорректной реализации механизма блокировки, из-за чего неаутентифицированный атакующий, имеющий сетевой доступ к устройству, может отправить специально сформированные HTTP-запросы и вызвать отказ в обслуживании (denial of service) HTTPS-интерфейса управления. То есть злоумышленнику не требуются учётные данные — достаточно сетевой достижимости соответствующего интерфейса.

Уязвимости присвоен базовый балл CVSS 6.7, что соответствует уровню MEDIUM. Практическое значение проблемы определяется тем, что именно через HTTPS-интерфейс управления администраторы выполняют конфигурирование устройства: его недоступность затрудняет оперативное реагирование и администрирование, хотя сама по себе уязвимость не приводит к выполнению кода или компрометации данных.

Что делать

Основная рекомендация — отслеживать официальные публикации Fortinet и установить обновление FortiOS, устраняющее CVE-2026-106174, как только оно станет доступно для используемой ветки. Вендор традиционно публикует соответствующие бюллетени PSIRT с перечнем исправленных версий; перед обновлением следует свериться с матрицей совместимости продуктов.

До установки патча целесообразно применить компенсирующие меры:

• ограничить доступ к HTTPS-интерфейсу управления доверенными административными подсетями с помощью политик firewall и функции Trusted Hosts;
• не публиковать интерфейс управления в интернет, использовать выделенный management-интерфейс или VPN для администрирования;
• включить многофакторную аутентификацию для административных учётных записей;
• настроить мониторинг и оповещения о недоступности интерфейса управления и аномальных HTTP-запросах к нему.

Итог: CVE-2026-106174 — уязвимость средней критичности, позволяющая неаутентифицированному атакующему нарушить работу HTTPS-интерфейса управления FortiOS. Существенного риска компрометации она не несёт, однако недоступность средства администрирования сама по себе нежелательна, поэтому обновление прошивки и ограничение сетевого доступа к интерфейсу управления остаются приоритетными мерами.

Источник: CVE Project (cvelistV5)