Cập nhật: 20/10/2026  |  Chuyên mục: Security Advisory  |  Biên tập: CloudX

Một đợt cảnh báo bảo mật mới liên quan đến các sản phẩm Fortinet đã được công bố trong tháng 10/2026. Trong thông báo ngày 14/10, HKCERT ghi nhận nhiều lỗ hổng có thể gây gián đoạn dịch vụ, rò rỉ thông tin, leo thang đặc quyền, sửa đổi dữ liệu hoặc thực hiện cross-site scripting trong những điều kiện khác nhau. Nhóm sản phẩm liên quan bao gồm FortiOS, FortiManager, FortiAnalyzer, FortiMail, FortiProxy và FortiSwitch.

Đối với doanh nghiệp sử dụng tường lửa FortiGate, vấn đề quan trọng không chỉ là đã có CVE mới, mà là xác định chính xác phiên bản, dịch vụ đang bật, điều kiện tấn công và bản vá áp dụng cho từng thiết bị. Không nên kết luận mọi FortiGate đều bị ảnh hưởng bởi tất cả CVE trong bản tin tổng hợp.

1. Cảnh báo tháng 10/2026 nói gì?

Theo HKCERT, thông báo “Fortinet Products Multiple Vulnerabilities” phát hành ngày 14/10/2026 được phân loại rủi ro tổng hợp mức Medium. Đây là đánh giá cho bản tin tổng hợp; từng CVE có thể có mức nghiêm trọng khác nhau. Các vấn đề được dẫn chiếu tới các advisory Fortinet như FG-IR-26-177, FG-IR-26-178, FG-IR-26-181, FG-IR-26-182 và FG-IR-26-184.

2. Những CVE tiêu biểu: phân biệt đúng sản phẩm

Lưu ý biên tập: Các CVE trên thuộc cùng đợt bản tin, nhưng không đồng nghĩa có cùng mức độ nguy hiểm hay cùng phương pháp khai thác. Danh sách đầy đủ và khuyến nghị nâng cấp phải được xác minh tại advisory theo mã CVE trước khi triển khai thay đổi.

Chú thích ảnh: Phân nhóm sản phẩm và rủi ro nhằm giúp bộ phận quản trị đối chiếu đúng advisory.

3. FortiGate chạy phiên bản nào cần lưu ý?

Bản tin HKCERT liệt kê FortiOS 8.0.0; 7.6.0–7.6.7 và một phạm vi riêng 7.6.4–7.6.6; đồng thời ghi “FortiOS 7.4 all versions” và “FortiOS 7.2 all versions”. Đây là các khoảng phiên bản được hợp nhất từ nhiều advisory, KHÔNG phải một bảng nâng cấp duy nhất và không nên suy ra mọi phiên bản 7.2/7.4 đều mắc một lỗi giống nhau.

Ví dụ, đối với GUI DoS CVE-2026-106174, dữ liệu kiểm tra của Tenable đưa ra mốc khắc phục cho các nhánh 7.6 và 8.0 khác nhau. Với các nhánh 7.2 hoặc 7.4, quản trị viên phải kiểm tra hướng dẫn Fortinet áp dụng riêng từng CVE, có thể phải chuyển sang nhánh được hỗ trợ thay vì chỉ nâng một bản vá nhỏ.

4. Không nhầm với lỗ hổng SSO đã bị khai thác từ đầu năm 2026

Một trường hợp cần phân biệt là CVE-2026-24858, công bố ngày 27/01/2026: lỗ hổng bypass xác thực có điểm CVSS v3.1 là 9.4, được Fortinet xác nhận đã bị khai thác. Điều kiện liên quan đến việc bật xác thực quản trị bằng FortiCloud SSO; kẻ tấn công có thể đăng nhập trái phép trong điều kiện được mô tả, tải cấu hình và tạo tài khoản quản trị. CVE này KHÔNG phải lỗ hổng mới được công bố trong tháng 10.

Theo advisory FG-IR-26-060, FortiOS 7.0.0–7.0.18 nằm trong phạm vi ảnh hưởng của CVE-2026-24858 nếu có điều kiện cấu hình liên quan. Cần kiểm tra việc sử dụng FortiCloud SSO, đồng thời rà soát tài khoản quản trị và các sự kiện đăng nhập bất thường.

5. Danh sách hành động ưu tiên dành cho quản trị viên

• Kiểm kê thiết bị: model, serial nội bộ, FortiOS/FortiManager/FortiAnalyzer/FortiMail version, tình trạng HA, tính năng SSO/VPN/GUI và dịch vụ quản trị đang công khai.
• Chạy “get system status” trên FortiGate, ghi lại phiên bản và đối chiếu với từng advisory PSIRT theo đúng sản phẩm.
• Giới hạn administrative access (HTTPS/SSH) bằng trusted hosts, local-in policy hoặc mạng quản trị riêng; tránh để giao diện quản trị truy cập rộng rãi từ Internet.
• Kiểm tra log admin login, thay đổi cấu hình, tạo tài khoản mới, các sự kiện backup/download cấu hình; đối chiếu với hoạt động quản trị hợp lệ.
• Sao lưu cấu hình và kiểm tra khả năng khôi phục trước khi nâng cấp; kiểm tra tương thích FortiOS, FortiManager, FortiAnalyzer, HA, VPN và license.
• Xác định đường nâng cấp được Fortinet hỗ trợ; kiểm thử trong cửa sổ bảo trì và xác nhận chính sách, route, tunnel, HA sau khi nâng cấp.
• Nếu phát hiện dấu hiệu bị xâm nhập, bảo toàn log và bằng chứng, xử lý theo quy trình ứng cứu sự cố; chỉ vá phần mềm có thể chưa đủ nếu tài khoản đã bị chiếm quyền.

6. CloudX khuyến nghị doanh nghiệp

Doanh nghiệp nên xây dựng chu kỳ kiểm tra PSIRT định kỳ và đánh giá rủi ro theo trạng thái thực tế của từng hệ thống. Ưu tiên cao cho thiết bị tiếp xúc Internet, giao diện quản trị đang được công khai, phần mềm hết vòng đời hỗ trợ hoặc hệ thống quản lý tập trung có nhiều quyền. Kết hợp quản lý bản vá, phân đoạn mạng quản trị, MFA, giám sát log và kế hoạch phục hồi để giảm đáng kể phạm vi sự cố.

CloudX khuyến nghị không tự ý nâng cấp hàng loạt chỉ dựa trên tiêu đề một bản tin. Mỗi thiết bị cần được đối chiếu theo CVE, version, cấu hình và đường nâng cấp được hỗ trợ.

Nguồn tham khảo 

https://www.hkcert.org/security-bulletin/fortinet-products-multiple-vulnerabilities_20261014

https://fortiguard.fortinet.com/psirt

https://fortiguard.fortinet.com/psirt/FG-IR-26-181

https://fortiguard.fortinet.com/psirt/FG-IR-26-182

https://fortiguard.fortinet.com/psirt/FG-IR-26-060

https://www.tenable.com/plugins/nessus/366109

https://www.tenable.com/plugins/nessus/366110

https://docs.fortinet.com/upgrade-tool

• • 20/10/2026