Fortinet heeft meerdere kwetsbaarheden in FortiWeb opgelost. De belangrijkste is een fout in de authenticatie in diverse FortiWeb-versies. Daardoor kon een externe aanvaller zonder geldige inloggegevens de GUI- en CLI‑beheerinterfaces benaderen door willekeurige credentials in te dienen. Het probleem trad onder specifieke, niet‑standaard configuraties ook op bij systemen die Remote RADIUS Type Admin Authentication gebruiken. Zo’n omzeiling kon in het ergste geval leiden tot volledige administratieve controle over het apparaat. Daarnaast is een zwakte verholpen in de inputfilters van FortiWeb WAF (CWE‑184). Door slim geconstrueerde verzoeken konden aanvallers de bedoelde restricties ontwijken, waardoor WAF‑regels minder effectief werden en ongeautoriseerde acties mogelijk werden.

Waarom dit telt

• Toegang tot de beheerinterface betekent impact op configuratie, logging en updates — precies de plekken waar je een aanvaller níet wilt. In de praktijk zagen we het afgelopen jaar bovendien extra risico’s door aanverwante issues: zo is er een rate‑limit‑bypass die brute‑force‑pogingen op admin‑logins kan versnellen (CVE‑2026‑24017). Fortinet adviseert hiervoor te updaten; NVD markeert de kwetsbare reeksen in FortiWeb 7.0 t/m 8.0.2. (nvd.nist.gov)
• Ook Single Sign‑On (SSO) rond FortiCloud speelde een rol: in december 2025 zijn twee SSO‑authenticatie‑bypasses gepubliceerd, waarvan CVE‑2025‑59719 specifiek FortiWeb raakt. Wie FortiCloud‑SSO had ingeschakeld, liep risico op het omzeilen van de aanmelding via een gemanipuleerd SAML‑antwoord. Diverse CERT’s adviseerden om SSO tijdelijk uit te schakelen en snel te patchen. (nvd.nist.gov)

Wat is er precies gefikst

• NCSC‑NL meldde op 12 maart 2026 dat Fortinet kwetsbaarheden in FortiWeb 7.0 t/m 8.0.1 heeft verholpen, variërend van authentication‑bypass tot OS‑command‑injection en buffer overflows. (advisories.ncsc.nl)
• Voor de actief misbruikte OS‑command‑injection (CVE‑2025‑58034) geeft NCSC een duidelijk upgradepad: 8.0.2+, 7.6.6+, 7.4.11+ en 7.0.12+. Deze bug liet — na inloggen — het uitvoeren van ongeautoriseerde commando’s via zorgvuldig samengestelde HTTP‑requests of CLI. (advisories.ncsc.nl)
• De rate‑limit‑bypass (CVE‑2026‑24017) maakte het mogelijk de drempel voor login‑pogingen te omzeilen; Fortinet koppelt hier fixes aan onder meer 7.6.6 en hoger. (fortiguard.fortinet.com)
• Voor de SSO‑auth‑bypass in FortiWeb (CVE‑2025‑59719) publiceerde NVD de getroffen versies en bevestigde het risico bij ingeschakelde FortiCloud‑SSO. (nvd.nist.gov)

Wat kun je nu doen

• Update zo snel mogelijk naar de nieuwste onderhoudsrelease in jouw lijn. Richtwaarde: 8.0.2+, 7.6.6+, 7.4.11+ of 7.0.12+ wanneer je nog op 7.x draait. Controleer na de upgrade ook eventuele hotfix‑notities van Fortinet. (advisories.ncsc.nl)
• Beperk beheerinterfaces. Sta GUI/SSH alleen toe vanaf vertrouwde beheer‑IP’s en zet “trusted hosts” in voor admin‑accounts. Overweeg management alleen via een apart beheer‑VLAN/VPN. (help.fortinet.com)
• Gebruik je FortiCloud‑SSO voor beheer? Verifieer of je op een gefixte release zit. Als tijdelijke maatregel kun je SSO uitschakelen en MFA afdwingen bij je identity‑provider. (advisories.ncsc.nl)
• Controleer en harden je externe authenticatie. FortiWeb ondersteunt RADIUS/LDAP voor admin‑toegang; loop de gebruikte methodes (PAP/CHAP/MS‑CHAPv2), tijdslimieten en certificaatvalidatie na en log authenticatie‑fouten actief. (docs.fortinet.com)
• Monitor op misbruikindicatoren. Let op plotselinge admin‑logins vanaf onbekende IP’s, afwijkende CLI‑commando’s of foutstormen rond login‑rate‑limits. (docs.fortinet.com)

Context voor WAF‑beheerders

• “Incomplete list of disallowed inputs” (CWE‑184) beschrijft filters die op een deny‑list steunen en daardoor omzeilbaar zijn met varianten van dezelfde payload. In WAF‑omgevingen werkt een combinatie van strikte allow‑lists, consistente normalisatie en actuele signatures aantoonbaar beter. FortiWeb documentatie en eerdere advisories benadrukken het fijnmazig instellen van input‑ en URL‑regels om dit soort omzeilingen te voorkomen. (cwe.mitre.org)

Tot slot

• De optelsom van een authentication‑bypass, een rate‑limit‑bypass en post‑auth RCE vergroot de kans op ketenmisbruik. Patchen is stap één, maar structurele beheersmaatregelen — netwerksegmentatie, MFA, least privilege en strakke toegangscontrole tot de beheerinterfaces — maken het verschil tussen een incident en een escalatie. Nationale en sectorale CERT’s in Nederland verwijzen voor FortiWeb consequent naar de hierboven genoemde releases als veilige minimale versies. (advisories.ncsc.nl)

Bronnen (selectie)

• NCSC‑NL: NCSC‑2026‑0092; kwetsbaarheden verholpen in FortiWeb (12‑03‑2026). (advisories.ncsc.nl)
• NVD: CVE‑2025‑58034 (OS‑command‑injection, actief misbruik) en CVE‑2026‑24017 (rate‑limit‑bypass). (nvd.nist.gov)
• NVD: CVE‑2025‑59719 (FortiWeb FortiCloud‑SSO auth‑bypass). (nvd.nist.gov)
• FortiGuard PSIRT‑overzicht en individuele bulletins (o.a. FG‑IR‑26‑082, ‑089, ‑097). (fortiguard.fortinet.com)
• FortiWeb‑documentatie: trusted hosts, input‑/URL‑regels, RADIUS‑adminauth. (help.fortinet.com)

Let op: de publicaties en upgradeschema’s hierboven zijn afkomstig uit advisories die tussen november 2025 en maart 2026 zijn uitgebracht. Controleer altijd de meest recente PSIRT‑pagina’s van Fortinet voor eventuele latere updates. (fortiguard.fortinet.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.