Rapport d'analyse de la vulnérabilité CVE-2026-24858 (édition complète avec sources)

Vulnérabilité de contournement d'authentification Fortinet FortiCloud SSO (Authentication Bypass)

Version du document : 2.0 (édition avec sources complètes)
Dernière mise à jour : 29 janvier 2026
Objectif : Audit de sécurité, documentation technique, réponse aux incidents

---

📋 Table des matières

1. Vue d'ensemble et informations de base
2. Analyse détaillée du mécanisme de la vulnérabilité
3. Produits et versions concernés
4. Score CVSS et évaluation de la sévérité
5. Scénarios d'attaque réels et campagnes
6. Indicateurs de détection et de forensique (IOCs)
7. Mesures de réponse immédiate
8. Recommandations de renforcement de la sécurité
9. Références et sources

---

📋 Vue d'ensemble et informations de base

1.1 Résumé de la vulnérabilité

CVE-2026-24858 est une vulnérabilité de contournement d'authentification découverte dans le mécanisme d'authentification FortiCloud SSO (Single Sign-On) de la gamme de produits Fortinet. L'exploitation de cette vulnérabilité permet à un attaquant distant d'accéder au système avec des privilèges administrateur sans authentification.

[Source : NVD - National Vulnerability Database]
https://nvd.nist.gov/vuln/detail/CVE-2026-24858

[Source : Avis PSIRT Fortinet FG-IR-26-060]
https://www.fortiguard.com/psirt/FG-IR-26-060

1.2 Tableau des informations de base

Élément	Contenu	Source
ID CVE	CVE-2026-24858	NVD
Type de vulnérabilité	Contournement d'authentification via FortiCloud SSO	Fortinet PSIRT
Classification CWE	CWE-288 : Contournement d'authentification via un chemin ou canal alternatif	NVD
Score CVSS v3.1	9.8 (Critique)	NVD
Vecteur d'attaque	Réseau (à distance)	NVD
Complexité de l'attaque	Faible	NVD
Privilèges requis	Aucun	NVD
Interaction utilisateur	Aucune	NVD
État actuel	Activement exploitée dans la nature (In-the-Wild)	SecurityWeek, Arctic Wolf
Produits concernés	FortiOS, FortiProxy, FortiPAM, FortiSwitchManager	Fortinet PSIRT
Systèmes exposés	1 100 000+ (selon la recherche FOFA)	FOFA
Date de découverte initiale	Début janvier 2026	SecurityWeek
Date de publication du correctif	Mi-janvier 2026	Fortinet PSIRT

[Source : Moteur de recherche FOFA]
https://en.fofa.info/result?qbase64=YXBwPSJGT1JUSU5FVC1Gb3J0aU1hbmFnZXIiIHx8IGFwcD0iRm9ydGlPUyIgfHwgYXBwPSJGT1JUSU5FVC1Gb3J0aUFuYWx5emVyIg%3D%3D

1.3 Chronologie```

[2026년 1월 초]

• 야생에서 취약점 악용 최초 확인 [출처: Arctic Wolf Threat Intelligence]

[2026년 1월 10일경]

• 보안 연구자들이 취약점 분석 시작 [출처: GitHub Security Advisories]

[2026년 1월 15일경]

• Fortinet, 공식 보안 권고 발표 (FG-IR-26-060) [출처: Fortinet PSIRT]

[2026년 1월 중순]

• 패치 버전 릴리스 [출처: Fortinet PSIRT]

[2026년 1월 말]

• 대규모 공격 캠페인 확인 [출처: SOC Prime, Arctic Wolf]

---

## 🔍 Analyse détaillée du mécanisme de la vulnérabilité

### 2.1 Architecture SSO de FortiCloud

**[Source : Blog SecPod - « From SSO to SOS »]**  
https://www.secpod.com/blog/from-sso-to-sos-how-cve-2026-24858-gave-hackers-the-keys-to-your-fortinet-gear/

Le SSO de FortiCloud est un mécanisme d'authentification unique (Single Sign-On) basé sur SAML 2.0, qui fonctionne selon la structure suivante :```
[정상 인증 흐름]

1. 사용자 → FortiGate 관리 인터페이스 접근
2. FortiGate → FortiCloud SSO로 리다이렉트
3. FortiCloud → SAML 인증 요청 생성
4. 사용자 → FortiCloud에 자격증명 입력
5. FortiCloud → SAML 응답 생성 및 서명
6. FortiCloud → SAML 응답을 FortiGate로 전송
7. FortiGate → SAML 응답 검증
8. FortiGate → 세션 생성 및 접근 허용

2.2 Mécanisme de déclenchement de la vulnérabilité

[Source : Blog SecPod, Analyse Arctic Wolf]

Le problème central de CVE-2026-24858 réside dans une faille du processus de validation des réponses SAML :``` [취약점 악용 흐름]

1. 공격자 → 조작된 SAML 응답 생성

   • 서명 검증을 우회하는 특수 구조 사용
   • 또는 서명 검증 단계 자체를 건너뛰는 경로 활용

2. 공격자 → FortiGate로 직접 SAML 응답 전송

   • FortiCloud를 거치지 않고 직접 전송
   • 또는 중간자 공격으로 정상 응답 변조

3. FortiGate → 검증 실패

   • SAML 서명 검증 로직 우회
   • 발행자(Issuer) 검증 미흡
   • 타임스탬프 검증 부재

4. FortiGate → 관리자 세션 생성

   • 공격자가 지정한 사용자 ID로 세션 생성
   • 일반적으로 "admin" 권한으로 생성됨

5. 공격자 → 완전한 관리자 권한 획득

### 2.3 Détails des vulnérabilités techniques

**[Source : Analyse technique SecPod]**

La vulnérabilité se manifeste dans les 3 principaux domaines suivants :

#### A. Vérification insuffisante de la signature des réponses SAML```xml


  
    
      
    
    VALID_SIGNATURE
  
  
    
      [email protected]
    
  

B. Défaut de validation de l'émetteur (Issuer)

FortiGate ne vérifie pas correctement que l'émetteur de la réponse SAML est bien FortiCloud :```python

취약한 검증 로직 (의사코드)

def verify_saml_response(response): issuer = response.get_issuer() # 문제: issuer 검증이 충분하지 않음 if issuer: # 단순히 issuer가 존재하는지만 확인 return True return False

공격자는 임의의 issuer 값을 설정 가능

#### C. Vulnérabilités de timing et de réutilisation

Absence ou insuffisance des mécanismes d'horodatage et de prévention de réutilisation dans les réponses SAML :```
- NotBefore / NotOnOrAfter 속성 검증 부재
- SAML Assertion ID의 재사용 방지 미흡
- 동일한 SAML 응답을 여러 번 사용 가능

2.4 Analyse de la complexité de l'attaque

[Source : Arctic Wolf Blog]
https://arcticwolf.com/resources/blog/cve-2026-24858/

Élément	Évaluation	Description
Difficulté technique	Faible	Exploit facilement configurable avec la bibliothèque SAML publique
Connaissances préalables requises	Moyennes	Compréhension de base du protocole SAML nécessaire
Droits d'accès requis	Aucun	Accès direct possible depuis Internet
Détectabilité	Faible	Difficile à distinguer d'une connexion SSO normale
Reproductibilité	Élevée	Fonctionne de manière cohérente sur toutes les versions vulnérables

---

🎯 Produits et versions concernés

3.1 Produits concernés et versions de correctif

[Source : Fortinet PSIRT Advisory FG-IR-26-060]
https://www.fortiguard.com/psirt/FG-IR-26-060

FortiOS

Version vulnérable	Version corrigée	Statut
7.0.0 - 7.0.16	7.0.17 et ultérieures	Correctif disponible ✅
7.2.0 - 7.2.10	7.2.11 et ultérieures	Correctif disponible ✅
7.4.0 - 7.4.6	7.4.7 et ultérieures	Correctif disponible ✅
7.6.0 - 7.6.2	7.6.3 et ultérieures	Correctif disponible ✅

Commande de vérification de version :```bash get system status

출력에서 "Version" 필드 확인

#### FortiProxy

| Versions vulnérables | Versions corrigées | Statut |
|------------|----------|------|
| 7.0.0 - 7.0.19 | 7.0.20 et ultérieures | Correctif disponible ✅ |
| 7.2.0 - 7.2.12 | 7.2.13 et ultérieures | Correctif disponible ✅ |
| 7.4.0 - 7.4.6 | 7.4.7 et ultérieures | Correctif disponible ✅ |
| 7.6.0 - 7.6.1 | 7.6.2 et ultérieures | Correctif disponible ✅ |

#### FortiPAM

| Versions vulnérables | Versions corrigées | Statut |
|------------|----------|------|
| 1.0.0 - 1.0.3 | 1.0.4 et ultérieures | Correctif disponible ✅ |
| 1.1.0 - 1.1.2 | 1.1.3 et ultérieures | Correctif disponible ✅ |
| 1.2.0 - 1.2.1 | 1.2.2 et ultérieures | Correctif disponible ✅ |
| 1.3.0 | 1.3.1 et ultérieures | Correctif disponible ✅ |

#### FortiSwitchManager

| Versions vulnérables | Versions corrigées | Statut |
|------------|----------|------|
| 7.0.0 - 7.0.5 | 7.0.6 et ultérieures | Correctif disponible ✅ |
| 7.2.0 - 7.2.6 | 7.2.7 et ultérieures | Correctif disponible ✅ |
| 7.4.0 - 7.4.1 | 7.4.2 et ultérieures | Correctif disponible ✅ |