Fortinet קוראת לתקן חמישה מוצרים בעוד פרטי CVE יתפרסמו רק ב-10 בנובמבר

לתקן עכשיו, פרטים אחר כך

Fortinet שחררה עדכוני אבטחה לחמישה מוצרים וקראה ללקוחות לעדכן מיד מכשירים חשופים לאינטרנט. פרטי הפגיעויות המלאים ומספרי CVE לא יתפרסמו עד 10 בנובמבר. קרל וינדזור, מנהל אבטחת המידע הראשי של Fortinet, אמר כי על הלקוחות לתכנן ולהשלים את השדרוגים במהירות עם יציאת הגרסאות, תוך מתן עדיפות למכשירים חשופים לאינטרנט.

העדכון מ-22 באוקטובר מכסה את FortiOS, FortiManager ו-FortiAnalyzer בענפים 7.2, 7.4, 7.6 ו-8.0. תיקוני FortiMail ו-FortiAuthenticator שוחררו ב-21 באוקטובר. לדברי Fortinet, זהו העדכון הראשון שכלל תיקונים שאותרו באמצעות תוכנית בדיקות האבטחה שלה בסיוע בינה מלאכותית מתקדמת, במסגרת שיתוף פעולה עם ספקיות, ובהן Anthropic עם פרויקט Glasswing (Mythos) ו-OpenAI עם פרויקט Daybreak (GPT 5.5 Cyber).

מומחים מזהירים מפני הנדסה לאחור

מומחי אבטחה הזהירו כי תוקפים עלולים ללמוד את התיקונים ולנצל את הפגיעויות לפני ש-Fortinet תפרסם את הפרטים. יורדן גנצ'ב, מומחה ראשי למודיעין איומים ב-watchTowr, אמר כי סביר שהפגיעויות יעברו הנדסה לאחור במהירות, ישוחזרו וינוצלו בסביבה אמיתית. הוא המליץ לארגונים שמפעילים מכשירי Fortinet פגיעים להחיל את התיקונים מיד, ולהגביל או לנתק מהאינטרנט את ממשקי הניהול החשופים של Fortinet.

וינדזור ציין את התקצרות חלון הזמן בין פרסום הפגיעות לניצול שלה, ואמר כי פרסום כזה עלול להעניק לתוקפים זמן ללמוד את הפגיעויות לפני שהמגנים מתקינים תיקונים. הוא הזהיר גם שתוקפים יכולים להשתמש בבינה מלאכותית כדי לשלב חולשות לא קשורות בעלות חומרה נמוכה לכדי פגיעות חמורה יותר שאפשר לנצל. watchTowr מסרה בספטמבר כי החלון הצטמצם משבועיים לארבע שעות.

הקשר לפגמים האחרונים

גנצ'ב קשר את החשש לפגיעויות PHP2Shell הקריטיות שאפשרו הרצת קוד מרחוק, ואמר שכל מוצרי Fortinet המושפעים הם מטרות בעלות ערך גבוה עם היסטוריה של ניצול. הוא הוסיף כי הכרזה מוקדמת על פגיעויות גדולות שמגיעות בקרוב רק מכינה את התעשייה ואת מערכים להשוואת תיקונים מבוססי LLM. סל קינטרו פרסם את גרסאות התיקון והמליץ להגביל גישת מנהל לכתובות IP מהימנות, להשאיר את FortiManager מחוץ לאינטרנט ולהחיל אימות רב-גורמי אם עדיין אי אפשר להתקין את התיקון.

מקורות: Cybernews