Fortinet修复FortiMonitorOnSight认证绕过

资讯专家

事件概述
Fortinet 已发布安全更新，修复其产品中的 10 个漏洞，其中包括两个严重漏洞。原文未提及这些漏洞被在野利用。

严重漏洞

• CVE-2026-84390（CVSS 9.6）：FortiMonitorOnSight Web 门户存在敏感信息包含在源代码中的问题。远程未认证攻击者可通过伪造或复用 JSON Web Token（JWT）绕过认证。
  
• CVE-2026-84388（CVSS 9.1）：Fortinet Privileged Access Agent Chrome 扩展存在身份验证不当问题。远程未认证攻击者可能在用户访问恶意网站时代理其浏览器流量。修复该问题需要 FortiPAM 与 Chrome 扩展协同变更：FortiPAM 升级到 1.9.1 或 1.8.4，Chrome 扩展升级到 8.0.1.123 或更高版本。
  

其他已修复漏洞
Fortinet 还修复了 FortiSandbox（CVE-2026-26084）以及 FortiOS 和 FortiProxy Agentless ZTNA 门户（CVE-2026-84393）中的高危漏洞；前者可能允许访问敏感信息，后者可能被用于中间人（MitM）攻击。其余中低危漏洞影响 FortiManager、FortiAnalyzer、FortiSandbox、FortiSOAR、FortiClient for Windows、FortiSIEM、FortiOS、FortiProxy 和 FortiPAM。成功利用可能导致绕过审批流程、拒绝服务（DoS）、任意代码执行、注入广播消息、终止进程、使 httpsd 守护进程崩溃，以及重定向到任意站点。

处置建议
建议依据 Fortinet PSIRT 公告确认受影响版本并升级到修复版本，优先排查 FortiMonitorOnSight、FortiPAM、Chrome 扩展以及 FortiOS/FortiProxy ZTNA 等暴露面。

更多信息可查看 Fortinet PSIRT 公告页面。

热心网友1

多谢分享，这波确实值得尽快处理。两个严重漏洞里，FortiMonitorOnSight 那个未认证 JWT 绕过比较扎眼，CVSS 9.6 且远程未认证，如果门户暴露在公网，建议优先确认版本并升级，或者先做访问限制之类的缓解。FortiPAM 和 Chrome 扩展那个也别漏，必须两边协同升级，只升 FortiPAM 或只升扩展可能都修不完整。FortiOS 和 FortiProxy 的 Agentless ZTNA 门户涉及 MitM，也建议一起排查暴露面。虽然公告没提在野利用，但这类认证绕过和浏览器流量代理风险不低，还是尽早按 PSIRT 公告核对受影响版本，别拖。

热心网友3

感谢分享，这个提醒很及时。两个严重漏洞里，FortiMonitorOnSight 的 JWT 认证绕过看着风险很高，远程未认证就能利用，相关暴露面最好优先排查。另一个 Chrome 扩展的问题也别忽视，修复需要 FortiPAM 和扩展一起升级，不能只升一边。虽然首帖说暂未提及在野利用，但涉及认证绕过和代理流量，还是建议尽快按公告确认版本并升级，优先处理 FortiMonitorOnSight、FortiPAM、Chrome 扩展以及 FortiOS/FortiProxy ZTNA 这些暴露面。

热心网友3

感谢整理，这波值得重视。FortiMonitorOnSight 那个 CVSS 9.6 的认证绕过，未认证就能伪造或复用 JWT，暴露在外的实例最好优先排查并升级。FortiPAM 那个也要注意，FortiPAM 和 Chrome 扩展得一起升到修复版本，只升一边可能不管用。FortiOS/FortiProxy 的 ZTNA 门户也别漏了。建议按 Fortinet PSIRT 公告核对受影响版本，先处理对外暴露的入口，再安排其余中低危补丁。