---

📋 Vue d'ensemble

CVE-2026-21643 est une vulnérabilité critique d'injection SQL (CWE-89) affectant Fortinet FortiClient Endpoint Management Server (FortiClientEMS) version 7.4.4 uniquement.

Un attaquant distant non authentifié peut envoyer des requêtes HTTP spécialement conçues à l'interface d'administration web (GUI) et exécuter des commandes SQL non autorisées. Cela peut conduire à une compromission totale du système, y compris l'exécution de code arbitraire sur le serveur.

Risque clé : la vulnérabilité est pré-authentification, ce qui fait de toute instance FortiClientEMS exposée à Internet ou accessible une cible de choix.

---

🔍 Détails techniques

• Identifiant CVE : CVE-2026-21643
• Référence Fortinet : FG-IR-25-1142
• Sévérité : Critique
• Score CVSS v3.1 : 9.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
• Type de vulnérabilité : Neutralisation incorrecte des éléments spéciaux utilisés dans une commande SQL (Injection SQL)
• Composant affecté : Interface d'administration web (GUI)
• Vecteur d'attaque : À distance, via des requêtes HTTP spécialement conçues (impliquant notamment l'en-tête Site dans les configurations multi-tenant et des points de terminaison comme /api/v1/init_consts)
• Authentification requise : Aucune
• Interaction de l'utilisateur : Aucune
• Exploitation publique connue : Non (en date de mars 2026)
• Découverte : En interne par Fortinet (Gwendal Guégniaud, équipe Product Security)

---

📊 Versions affectées

---

✅ Remédiation

Action urgente recommandée :

1. Mettez à niveau immédiatement vers FortiClientEMS 7.4.5 ou toute version plus récente (y compris la branche 8.0).
2. Restreignez l'accès à l'interface d'administration :
   • Placez-la derrière un VPN, un pare-feu ou une solution zéro confiance.
   • Évitez d'exposer l'interface web EMS directement sur Internet.
3. Surveillez les journaux pour détecter des requêtes suspectes vers les points de terminaison d'administration (par exemple, impliquant l'en-tête Site ou des motifs d'erreur SQLi).
4. Appliquez les signatures IPS FortiGuard si disponibles pour une protection supplémentaire.

Avis officiel Fortinet :
https://fortiguard.fortinet.com/psirt/FG-IR-25-1142

---

🛡️ Atténuation et bonnes pratiques

• Priorité de correctif : Élevée — à traiter en urgence en raison de la nature pré-authentification.
• Si le correctif ne peut pas être appliqué immédiatement, bloquez l'accès externe à l'interface de gestion EMS.
• Examinez les configurations multi-tenant (plus exposées en raison du traitement de l'en-tête Site).
• Activez une journalisation détaillée et surveillez les fuites d'erreurs de base de données.
• Analysez régulièrement votre environnement pour détecter les instances FortiClientEMS exposées.

Note : La faille a été introduite lors d'une refonte de l'intergiciel dans 7.4.4 liée à la prise en charge multi-tenant et a été corrigée discrètement dans 7.4.5.

---

📚 Références et lectures complémentaires

• NVD - CVE-2026-21643
• Avis Fortinet PSIRT FG-IR-25-1142
• Analyse Arctic Wolf
• Couverture de The Hacker News
• ThreatPROTECT de Qualys
• Base de données des vulnérabilités SentinelOne

---

📌 Avertissement

Ce dépôt est maintenu à des fins de sécurité défensive, de sensibilisation et d'information uniquement. Reportez-vous toujours à l'avis officiel de Fortinet pour obtenir les recommandations les plus précises et à jour.

Aucun exploit public n'est inclus ici.

---

⭐ Mettez une étoile à ce dépôt s'il vous a aidé à rester en sécurité !
🛠️ Les contributions, corrections ou IOCs supplémentaires sont les bienvenus via les Pull Requests.

Dernière mise à jour : mars 2026