Failles Fortinet : correctifs urgents, détails seulement le 10 novembre

Fortinet a publié les 21 et 22 octobre 2026 des correctifs critiques pour cinq de ses produits, dont le système des pare-feu FortiGate. Particularité : ces failles Fortinet, repérées avec l’aide de l’intelligence artificielle, ne seront documentées que le 10 novembre. Entreprises et collectivités doivent donc mettre à jour sans connaître précisément le risque.

L’annonce est signée Carl Windsor, responsable de la sécurité des systèmes d’information (RSSI) de Fortinet, dans un billet publié le 21 octobre. FortiMail, la passerelle de messagerie, et FortiAuthenticator, la brique de gestion des identités, ont été corrigés le jour même. FortiOS, le système d’exploitation des pare-feu FortiGate, la console d’administration centralisée FortiManager et l’outil de journalisation FortiAnalyzer ont suivi le 22 octobre. Le constructeur évoque des vulnérabilités critiques et de sévérité élevée, sans en donner le nombre. Aucun identifiant CVE (la référence publique d’une faille) ni score CVSS (sa note de gravité) n’a été communiqué : les avis complets paraîtront lors du « Patch Tuesday » de Fortinet, le 10 novembre 2026.

Des vulnérabilités débusquées par l’intelligence artificielle

Selon Fortinet, ces correctifs sont les premiers issus de son programme de tests de sécurité assisté par des modèles d’IA de pointe. L’éditeur remercie Anthropic, OpenAI, Google et SpaceX pour leur collaboration, sans préciser la contribution de chacun.

En juin, Fortinet avait déjà décrit sa participation aux projets Glasswing d’Anthropic et Daybreak d’OpenAI. D’après IT-Connect, l’éditeur notait alors que ces modèles trouvaient peu de failles inédites dans ses firmwares, mais qu’ils excellaient à comparer deux versions d’un logiciel et à produire des preuves de concept pour des failles déjà corrigées. C’est précisément ce savoir-faire qui inquiète aujourd’hui.

Pourquoi Fortinet demande de patcher sans attendre

Le constructeur demande de traiter ces mises à jour comme une priorité, et non comme une maintenance de routine. Il avance quatre raisons : la gravité des failles, et trois arguments liés à l’évolution des techniques d’attaque.

Le patch diffing, accéléré par l’IA

Un correctif public révèle les zones de code modifiées. En comparant la version corrigée et l’ancienne, un attaquant localise la faille et peut en tirer un exploit. Selon Fortinet, l’IA ramène ce travail de plusieurs semaines à quelques heures ou quelques jours.

Une fenêtre d’exploitation qui se réduit

« La fenêtre entre la divulgation et l’exploitation continue de se réduire », résume Carl Windsor. En septembre, la société de sécurité watchTowr estimait, d’après Cybernews, que ce délai était passé de deux semaines à quatre heures. Yordan Ganchev, chez watchTowr, juge que ces trois semaines sans détails offrent un terrain de chasse aux attaquants et s’attend à une exploitation rapide.

Le chaînage de failles

L’IA peut aussi combiner plusieurs vulnérabilités jugées mineures pour construire une attaque sérieuse. Or les équipements Fortinet sont des cibles de grande valeur : ils figurent régulièrement au catalogue des vulnérabilités activement exploitées tenu par l’agence américaine CISA.

Ce que ça change pour les PME et les communes

Un pare-feu FortiGate est souvent la principale porte entre Internet et le système d’information d’une PME ou d’une mairie. Il filtre le trafic, cloisonne les réseaux d’entreprise et porte fréquemment les connexions VPN des accès nomades. Une compromission à ce niveau ouvre la voie à une intrusion dans tout le réseau.

Les versions à installer

• FortiOS (FortiGate) : 8.0.2, 7.6.8, 7.4.13 ou 7.2.14 selon la branche ;
• FortiManager et FortiAnalyzer : 8.0.2, 7.6.8, 7.4.12 ou 7.2.13 ;
• FortiMail : 8.0.2, 7.6.7 ou 7.4.9. La branche 7.2 ne sera pas corrigée : il faut migrer vers la 7.4 ou au-delà ;
• FortiAuthenticator : 8.0.4 ou 6.6.11.

Le cas des services cloud

FortiSASE est mis à jour automatiquement par Fortinet. FortiManager Cloud peut en revanche exiger une action manuelle, et les instances en cloud public sont mises à jour via les partenaires. Le scénario rappelle celui des failles critiques PHP corrigées en urgence le 21 octobre : des correctifs disponibles, et des attaquants prêts à exploiter le moindre retard.

Failles Fortinet : les réflexes à adopter avant le 10 novembre

Vous exploitez un ou plusieurs équipements Fortinet ? Le constructeur et les experts cités convergent sur quelques priorités :

• Inventoriez tous vos FortiGate, FortiManager et FortiAnalyzer, en commençant par ceux exposés sur Internet.
• Sauvegardez les configurations et planifiez une fenêtre d’intervention au plus vite.
• Restreignez les interfaces d’administration (HTTPS, SSH) à des adresses IP de confiance, ou désactivez-les côté Internet. Gardez FortiManager hors d’Internet.
• Imposez des identifiants uniques et l’authentification multifacteur (MFA) à tous les administrateurs. Les identifiants volés restent une porte d’entrée majeure, comme le soulignait notre article sur les fuites de données recensées par le CERT-FR.
• Surveillez les journaux pour repérer tout accès administrateur inhabituel ou changement non approuvé.

Ces mesures provisoires ne remplacent pas la mise à jour, insiste Fortinet. Sans équipe dédiée, un prestataire en sécurité informatique peut gérer l’inventaire et le déploiement. Les mairies et intercommunalités peuvent aussi s’appuyer sur un accompagnement en cybersécurité des collectivités.

Conclusion

En publiant ses correctifs trois semaines avant ses avis de sécurité, Fortinet tente de prendre de vitesse des attaquants désormais outillés par l’IA. Le pari ne fonctionne que si les clients mettent à jour rapidement. Les failles Fortinet corrigées en octobre n’attendront pas le 10 novembre pour être exploitées : vérifiez dès maintenant vos versions et fermez vos interfaces d’administration exposées.

Source : IT-Connect – FortiGate, FortiManager : Fortinet vous demande de patcher tout de suite, mais sans dire ce qu’il corrige (22 octobre 2026)
Voir aussi : Fortinet – Fortinet Releases Security Hardening Release for Multiple Products (21 octobre 2026) ; Cybernews – Fortinet critical patches out three weeks before CVEs, sparking pre-disclosure hack fears (23 octobre 2026)