FortiSIEM CVE-2026-106173 : root sans authentification

CVE-2026-106173, une traversée de répertoire dans phQueryMaster, un service gRPC de FortiSIEM à l'écoute sur le port TCP 27918. Fortinet la note 9,4 ; la fiche NVD donne 9,8.

L'avis indique FortiSIEM 7.5.0 comme vulnérable, corrigé en 7.5.1. La fiche CVE cite aussi les versions 7.0.0 à 7.4.2 et renvoie vers la 7.6.0. FortiSIEM 7.6 et FortiSIEM Cloud ne sont pas touchés. Vérifiez l'avis pour votre version exacte.

L'attaquant a besoin d'un accès réseau au port TCP 27918, et de rien d'autre : aucun compte, et le service ne demandait pas de certificat client.

Horizon3.ai, qui a découvert la faille, a publié une preuve de concept.

Une requête adressée au service nomme un fichier à écrire. Le service n'empêche pas ce nom de sortir de son propre répertoire, si bien que l'attaquant peut écrire là où les tâches planifiées de l'équipement vont lire.

Quand la tâche s'exécute, la commande de l'attaquant s'exécute avec elle, en tant que root.

Root sur le SIEM. Les journaux qui devraient révéler l'intrusion peuvent être modifiés, les règles de détection désactivées, et les identifiants qu'il garde pour les équipements supervisés lus.

Et le SIEM joint chaque sous-réseau qu'il surveille.

Passez à FortiSIEM 7.5.1 ou ultérieure, ou à la 7.6. D'ici là, Fortinet indique que restreindre l'accès au port TCP 27918 empêche l'attaque : n'autorisez que les collecteurs qui en ont besoin.

Vérifiez ensuite si quelque chose a déjà été écrit : contrôlez les scripts lancés par les tâches planifiées de root sur l'équipement, et l'historique de sa crontab.

Sources : Fortinet PSIRT FG-IR-26-180, fiche CVE-2026-106173, NVD, Horizon3.ai.

Formation défensive : l'attaque est montrée dans son principe seulement, sans étape d'exploitation, outil ni charge utile. Les sorties de commande et les configurations sont des exemples ; vérifiez votre plateforme et votre version dans la documentation du constructeur.