Die schwerwiegendste der nun geschlossenen Lücken trägt die Kennung CVE-2026-84390 und erreicht einen CVSS-Wert von 9.6. Fortinet beschreibt sie als Einbettung sensibler Informationen in den Quellcode des Web-Portals von FortiMonitorOnSight. Ein entfernter, nicht authentifizierter Angreifer kann darüber die Authentifizierung umgehen, indem er ein gefälschtes oder wiederverwendetes JSON Web Token (JWT) einsetzt.
Die zweite kritische Schwachstelle betrifft die Chrome-Erweiterung Fortinet Privileged Access Agent und wird unter CVE-2026-84388 mit einem CVSS-Wert von 9.1 geführt. Dabei handelt es sich um eine fehlerhafte Authentifizierung. Laut Fortinet kann ein entfernter, nicht authentifizierter Angreifer den Browser-Verkehr eines Nutzers über sich leiten, sofern dieser eine präparierte Website aufruft.
Für diese Lücke genügt ein einzelnes Update nicht. „Die Behebung dieses Problems erforderte abgestimmte Änderungen an zwei Komponenten: FortiPAM und der Chrome-Erweiterung Fortinet Privileged Access Agent. Um vollständig abgesichert zu sein, sollten Kunden FortiPAM auf 1.9.1 oder 1.8.4 aktualisieren und sicherstellen, dass die Chrome-Erweiterung mindestens in Version 8.0.1.123 vorliegt“, teilt das Unternehmen mit.
Zwei weitere Schwachstellen stuft Fortinet als hoch ein. CVE-2026-26084 betrifft FortiSandbox und kann Angreifern Zugriff auf sensible Informationen verschaffen. CVE-2026-84393 steckt im Agentless-ZTNA-Portal von FortiOS und FortiProxy und eröffnet die Möglichkeit von Man-in-the-Middle-Angriffen.
Die restlichen der insgesamt zehn behobenen Fehler bewerten die Entwickler als mittelschwer oder gering. Sie verteilen sich über FortiManager, FortiAnalyzer, FortiSandbox, FortiSOAR, FortiClient für Windows, FortiSIEM, FortiOS, FortiProxy und FortiPAM.
Das Spektrum möglicher Folgen ist bei dieser Gruppe breit gefächert: Angreifer könnten Freigabe-Workflows umgehen, einen Denial-of-Service-Zustand herbeiführen, beliebigen Code ausführen, Broadcast-Nachrichten einschleusen, Prozesse beenden, den httpsd-Daemon zum Absturz bringen oder Weiterleitungen auf beliebige Websites auslösen.
Angaben zu einer aktiven Ausnutzung macht Fortinet zu keiner der zehn Schwachstellen. Ausführlichere technische Informationen stellt der Hersteller auf der Advisory-Seite seines PSIRT bereit.