КиберосноваSGRC
BDU:2026-00882
Критический
Эксплойт

BDU:2026-00882: Уязвимость механизма аутентификации FortiCloud SSO операционных систем FortiOS, программного средства централизованного управления устройствами Fortinet FortiManager, программного средства отслеживания и анализа событий безопасности FortiAnalyzer и прокси-сервера для защиты от интернет-атак FortiProxy, позволяющая нарушителю получить несанкционированный доступ к устройству

CVSS v39.8
CVSS v210.0
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2026-00882

Описание

Уязвимость механизма аутентификации FortiCloud SSO операционных систем FortiOS, программного средства централизованного управления устройствами Fortinet FortiManager, программного средства отслеживания и анализа событий безопасности FortiAnalyzer и прокси-сервера для защиты от интернет-атак FortiProxy связана с обходом аутентификации посредством использования альтернативного пути или канала. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к устройству

Что делать с BDU:2026-00882

Критическая уязвимость (CVSS 9.8) требует немедленного реагирования. По приказу ФСТЭК №117 срок устранения — 24 часа. Проверьте наличие патча у вендора и установите его на все затронутые системы. При невозможности патча — изолируйте уязвимый компонент и примените компенсирующие меры.

⚠ Для этой уязвимости существует публичный эксплойт — риск активной эксплуатации повышен. Устраните в первую очередь.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
9.8Критический
Пересчитать →
v2
10.0
Только просмотр
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:N/C:C/I:C/A:C

CWE — тип уязвимости

CWE-288

CVE — международный идентификатор

CVE-2026-24858
FG-IR-26-060

Тактики и техники

Нарушение аутентификации

Уязвимое ПО (16)

ВендорНазваниеВерсияПлатформа
Fortinet Inc.FortiProxy7.2Не указана
Fortinet Inc.FortiProxy7.0Не указана
Fortinet Inc.FortiAnalyzerот 7.6.0 до 7.6.6Не указана
Fortinet Inc.FortiAnalyzerот 7.4.0 до 7.4.10Не указана
Fortinet Inc.FortiAnalyzerот 7.2.0 до 7.2.12Не указана
Fortinet Inc.FortiAnalyzerот 7.0.0 до 7.0.16Не указана
Fortinet Inc.FortiManagerот 7.6.0 до 7.6.6Не указана
Fortinet Inc.FortiManagerот 7.4.0 до 7.4.10Не указана
Fortinet Inc.FortiManagerот 7.2.0 до 7.2.13Не указана
Fortinet Inc.FortiManagerот 7.0.0 до 7.0.16Не указана
Fortinet Inc.FortiOSот 7.6.0 до 7.6.6Не указана
Fortinet Inc.FortiOSот 7.4.0 до 7.4.11Не указана
Fortinet Inc.FortiOSот 7.2.0 до 7.2.13Не указана
Fortinet Inc.FortiOSот 7.0.0 до 7.0.19Не указана
Fortinet Inc.FortiProxyот 7.6.0 до 7.6.6Не указана
Fortinet Inc.FortiProxyот 7.4.0 до 7.4.13Не указана

Среды функционирования (4)

ВендорНазваниеВерсияПлатформа
Fortinet Inc.FortiOSот 7.6.0 до 7.6.6Не указана
Fortinet Inc.FortiOSот 7.4.0 до 7.4.11Не указана
Fortinet Inc.FortiOSот 7.2.0 до 7.2.13Не указана
Fortinet Inc.FortiOSот 7.0.0 до 7.0.19Не указана

Рекомендации по устранению

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Компенсирующие меры: - отключение механизма аутентификации FortiCloud SSO путем выполнения следующей команды (для FortiManager и FortiAnalyzer): config system saml set forticloud-sso disable end; или следующей команды (для FortiOS и FortiProxy): config system global set admin-forticloud-sso-login disable end; - использование средств межсетевого экранирования для ограничения удалённого доступа к уязвимому программному обеспечению; - сегментирование сети с целью ограничения доступа к уязвимому программному обеспечению из других подсетей; - использование систем обнаружения и предотвращения вторжений для отслеживания индикаторов - ограничение доступа из внешних сетей (Интернет). Использование рекомендаций: https://fortiguard.fortinet.com/psirt/FG-IR-26-060

Источники (1)

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.8

Уточните SLA под вашу среду

Базовый балл 9.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Немедленно устранить

Эксплуатируется или вероятность крайне высока. Приоритет №1 — устраните в первую очередь.

EPSS — вероятность эксплуатации86.1%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

CISA KEV — активно эксплуатируется

Включена в каталог Known Exploited Vulnerabilities. Устранение — приоритет.

Информация

Обнаружена

2026-01-27

Опубликована

2026-01-28

Обновлена

2026-01-28

Эксплойт

Существует

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2026-24858 MITRE: CWE-288 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

 
Средний
5.6

Уязвимость демона WAD (Web Access Daemon) операционных систем FortiOS, позволяющая нарушителю выполнить произвольный код

 
Средний
5.5

Уязвимость интерфейса командной строки (CLI) системы управления учетными данными FortiPAM, операционной системы FortiOS,

 
Средний
4.3

Уязвимость интерфейса командной строки (CLI) операционных систем FortiOS и прокси-сервера для защиты от интернет-атак Fo

 
Средний
4.3

Уязвимость операционных систем FortiOS и прокси-сервера для защиты от интернет-атак FortiProxy, связанная с непринятием

 
Высокий
6.6

Уязвимость графического интерфейса пользователя (GUI) системы управления учетными данными FortiPAM, операционной системы

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 94 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0