Deux informations importantes pour les entreprises équipées d’un pare-feu Fortinet FortiGate :
- Une faille exploitée : CVE-2025-61624 permet à un attaquant qui a déjà un accès privilégié d’écrire ou d’effacer des fichiers sur le pare-feu. Les chercheurs de Palo Alto Networks (Unit 42) ont décrit en octobre 2026 un logiciel espion, PEERSTITCH, installé ainsi en mémoire dans des FortiGate pour contourner les contrôles des connexions VPN. La CISA l’a ajoutée le 16 octobre à sa liste des failles activement exploitées.
- Une mise à jour de sécurité : le 22 octobre 2026, Fortinet a publié de nouvelles versions de FortiOS, FortiManager et FortiAnalyzer avec des correctifs « critiques et élevés », et demande de les installer en priorité. Le détail des failles sera publié le 10 novembre : dès ce moment, les pirates sauront exactement quoi chercher sur les pare-feux pas à jour.
Êtes-vous concerné ?
Pour CVE-2025-61624 : FortiOS 6.4, 7.0 et 7.2 (toutes versions), 7.4.0 à 7.4.9 et 7.6.0 à 7.6.4 (ainsi que FortiProxy, FortiPAM et FortiSwitchManager). Pour la mise à jour du 22 octobre : tout FortiGate en dessous des versions du tableau.
Les versions à installer (22 octobre 2026)
| Produit | Version minimale |
|---|---|
| FortiOS 8.0 | 8.0.2 |
| FortiOS 7.6 | 7.6.8 |
| FortiOS 7.4 | 7.4.13 |
| FortiOS 7.2 | 7.2.14 |
| FortiOS 7.0 et plus ancien | plus maintenu : passer à une branche supportée |
| FortiManager / FortiAnalyzer | 8.0.2, 7.6.8, 7.4.12 ou 7.2.13 selon la branche |
| FortiMail | 8.0.2, 7.6.7 ou 7.4.9 (7.2 : passer en 7.4) – corrige aussi CVE-2026-104286, déjà exploitée |
Que faire ?
- Sauvegardez la configuration du FortiGate (menu en haut à droite › Configuration › Sauvegarde).
- Vérifiez le chemin de mise à jour avec l’outil officiel « Upgrade Path » de Fortinet : certains sauts de version doivent passer par une version intermédiaire.
- Installez la version corrigée en dehors des heures de travail : le pare-feu redémarre et coupe Internet quelques minutes.
- Fermez l’administration depuis Internet : pas d’accès HTTPS ni SSH d’administration sur l’interface WAN, ou seulement depuis des adresses IP de confiance. Activez la double authentification pour les administrateurs.
- Regardez les journaux avant et après : connexions d’administrateur inhabituelles, comptes ajoutés, changements de configuration que vous n’avez pas faits.
Le conseil BETOTECH
Un pare-feu n’est utile que s’il est à jour : c’est lui qui fait face à Internet en premier. Si votre FortiGate est encore en 7.0 ou plus ancien, il ne reçoit plus de correctifs. Nous pouvons faire la mise à jour pour vous, ou étudier un remplacement : contactez-nous.
Sources
- The Hacker News – PEERSTITCH via une faille de FortiOS (16/10/2026)
- GovCERT.HK – alerte FortiOS, versions touchées (21/10/2026)
- Rescana – versions corrigées du 22 octobre 2026
- Fortinet PSIRT – avis de sécurité officiels
Article publié le 1er novembre 2026. Les informations de sécurité évoluent vite : avant d’agir, vérifiez toujours l’avis officiel du fabricant (liens ci-dessus).