Une faille FortiSIEM critique, CVE-2026-106173, dispose d'un exploit public permettant l'exécution de code à distance.

Des chercheurs en cybersécurité ont publié un code d’exploitation (PoC) pour une faille FortiSIEM critique, récemment corrigée par Fortinet. Cette vulnérabilité peut conduire à l’exécution de code arbitraire. Autrement dit, un attaquant pourrait prendre la main sur un composant central de la supervision de sécurité.

Une faille FortiSIEM critique avec un exploit public

La vulnérabilité porte l’identifiant CVE-2026-106173. Elle affiche un score CVSS de 9,4, ce qui la place dans la catégorie critique. Il s’agit d’une faille de type traversée de chemin (path traversal).

Selon les informations disponibles, un attaquant non authentifié pourrait l’exploiter. Il lui suffirait d’envoyer des requêtes spécialement conçues. Il pourrait alors exécuter du code ou des commandes non autorisés sur le système visé.

L’absence d’authentification change tout. En effet, l’attaquant n’a besoin ni d’identifiants volés ni d’un compte légitime. Une instance exposée et non corrigée suffit donc à ouvrir la porte.

Fortinet a déjà publié un correctif. Cependant, la sortie d’un PoC public modifie le niveau de risque. Dès qu’un exploit fonctionnel circule, des acteurs malveillants peuvent l’adapter rapidement. Le délai entre la publication d’un correctif et les premières attaques se réduit alors fortement.

Comprendre la traversée de chemin et ses risques

Une traversée de chemin survient lorsqu’une application traite mal un chemin de fichier fourni par l’utilisateur. L’attaquant glisse alors des séquences spéciales dans sa requête. Il peut ainsi sortir du répertoire prévu et atteindre d’autres zones du système.

Habituellement, cette classe de faille permet de lire des fichiers sensibles. Toutefois, elle peut aussi autoriser l’écriture ou le remplacement de fichiers. Dans ce cas, le chemin vers l’exécution de code devient direct.

Voici les scénarios typiques que ce type de défaut rend possibles :

• lecture de fichiers de configuration contenant des secrets ;
• dépôt d’un fichier malveillant à un emplacement exécuté par le système ;
• modification de scripts ou de paramètres existants ;
• installation d’une porte dérobée pour conserver l’accès.

Le détail précis de la chaîne d’exploitation dépend du produit. C’est pourquoi les équipes doivent se référer à l’avis officiel de Fortinet. Cet avis précise les versions concernées et les versions corrigées.

Pourquoi cette faille FortiSIEM inquiète les équipes SOC

FortiSIEM est une solution de gestion des informations et des événements de sécurité (SIEM). Elle collecte les journaux de nombreux équipements. Elle sert aussi à corréler les alertes et à détecter les comportements suspects.

Par conséquent, un tel outil concentre des informations très sensibles. Il connaît la topologie du réseau, les équipements et parfois des identifiants d’accès. Le compromettre revient à obtenir une vue d’ensemble de l’infrastructure.

De plus, un SIEM compromis pose un second problème. L’attaquant peut effacer ou falsifier des journaux. Il peut également masquer ses traces et retarder la détection d’une intrusion plus large.

Les produits Fortinet attirent régulièrement l’attention des groupes malveillants. En effet, ils sont souvent déployés au cœur des réseaux et parfois accessibles depuis Internet. Une faille critique sans authentification devient donc une cible de choix.

Pour l’instant, les éléments fournis ne font pas état d’attaques observées sur le terrain. Néanmoins, la disponibilité du PoC doit pousser à agir sans attendre. Les analyses de risques doivent désormais supposer qu’une exploitation est réaliste.

Recommandations pour les administrateurs

La priorité est simple : appliquer le correctif publié par Fortinet. D’abord, identifiez toutes les instances FortiSIEM de votre parc, y compris celles oubliées ou isolées dans des environnements de test. Ensuite, vérifiez leur version par rapport à l’avis de l’éditeur.

En parallèle, réduisez la surface d’exposition. Une console de supervision n’a pas vocation à être accessible depuis l’Internet public. Limitez donc l’accès aux seuls réseaux d’administration et aux adresses autorisées.

Enfin, surveillez les signes d’une éventuelle compromission. Examinez les journaux d’accès à la recherche de requêtes inhabituelles. Contrôlez aussi les fichiers récemment créés ou modifiés, ainsi que les processus inattendus.

Ce qu’il faut retenir

• La CVE-2026-106173 est une faille de traversée de chemin dans Fortinet FortiSIEM, notée 9,4 sur l’échelle CVSS.
• Un attaquant non authentifié peut exécuter du code ou des commandes via des requêtes spécialement conçues.
• Un exploit public (PoC) existe désormais, ce qui accélère le risque d’attaques.
• Fortinet a publié un correctif : il faut l’appliquer rapidement.
• Il convient de restreindre l’accès aux interfaces de gestion et de vérifier les journaux.

Si votre instance est restée non corrigée, considérez-la comme potentiellement exposée. Dans ce cas, appliquez la mise à jour puis lancez une revue de sécurité complète.

Source : Critical FortiSIEM Flaw Gets Public Exploit PoC for Unauthenticated Remote Code Execution