Fortinet 釋出五大產品安全更新
Fortinet Releases Security Updates Across Five Products
Fortinet 針對 FortiOS、FortiManager、FortiAnalyzer、FortiMail 與 FortiAuthenticator 釋出關鍵安全更新，建議即時升級。
Fortinet 針對五大產品釋出關鍵安全更新，建議即時修補以避免網際網路暴露風險，並提醒管理者優先升級網際網路可接觸系統。
Fortinet 公佈了一組協同的安全更新，涵蓋五個產品：FortiOS、FortiManager、FortiAnalyzer、FortiMail 及 FortiAuthenticator。
公司敦促客戶優先安裝這些更新，尤其是對外部網路可見的系統。修補程式針對 Fortinet 透過 AI 助力的安全測試計畫所發現的關鍵與高嚴重性漏洞。
FortiMail 與 FortiAuthenticator 的更新先前已釋出，隨後於 2026 年 10 月 22 日推出 FortiOS、FortiManager 及 FortiAnalyzer 的協同更新。
這裡有一個重要細節。Fortinet 已釋出修補程式，但個別 CVE 識別碼與詳細技術諮詢將於 2026 年 11 月 10 日公佈。組織不應等到那時才開始修復。
此版本與眾不同之處
Fortinet 已將先進的 AI 模型納入其產品安全測試流程。公司表示，這些模型協助檢查程式碼路徑、協定處理與設定邏輯，以找出弱點。
Fortinet 承認在此測試工作中與 Anthropic、OpenAI、Google 及 SpaceX 合作。
然而，這一發展亦有另一面。攻擊者亦可利用 AI 分析安全修補程式，瞭解變更內容，並可能針對仍未修補的系統開發利用。
一旦修補程式可用，易受攻擊版本與已修補版本之差異可提供有用線索，揭示潛在弱點。Fortinet 亦警告，攻擊者可能結合多項漏洞以構成更嚴重的攻擊路徑。
這也是公司希望客戶將更新視為優先變更，而非例行維護的原因。
受影響產品與已修補版本
Fortinet 已為五個產品確定受影響的版本範圍及相應的已修補版本。組織應檢查其已安裝版本，並升級至適當的已修補版本。
1. FortiOS
FortiOS 為 Fortinet 的 FortiGate 網路安全裝置提供支援。
- 受影響: 8.0.0–8.0.1
已修補: 8.0.2 or later - 受影響: 7.6.0–7.6.7
已修補: 7.6.8 or later - 受影響: 7.4.0–7.4.12
已修補: 7.4.13 or later - 受影響: 7.2.0–7.2.13
已修補: 7.2.14 or later
2. FortiManager
FortiManager 為 Fortinet 安全裝置提供集中管理。組織應將這些管理系統納入修補工作，而非僅聚焦於 FortiGate 裝置。
- 受影響: 8.0.0–8.0.1
已修補: 8.0.2 or later - 受影響: 7.6.0–7.6.7
已修補: 7.6.8 or later - 受影響: 7.4.0–7.4.11
已修補: 7.4.12 or later - 受影響: 7.2.0–7.2.12
已修補: 7.2.13 or later
3. FortiAnalyzer
FortiAnalyzer 支援集中式安全日誌、分析與報告。
- 受影響: 8.0.0–8.0.1
已修補: 8.0.2 or later - 受影響: 7.6.0–7.6.7
已修補: 7.6.8 or later - 受影響: 7.4.0–7.4.11
已修補: 7.4.12 or later - 受影響: 7.2.0–7.2.12
已修補: 7.2.13 or later
4. FortiMail
FortiMail 提供電子郵件安全與對抗電子郵件帶來的威脅。
- 受影響: 8.0.0–8.0.1
已修補: 8.0.2 or later - 受影響: 7.6.0–7.6.6
已修正: 7.6.7 或更高版本 - 受影響: 7.4.0–7.4.8
已修正: 7.4.9 或更高版本 - 受影響: 7.2.0–7.2.9
修復方案: 升級至 7.4 分支或更高版本.
FortiMail 使用者的補充說明: Fortinet 已單獨報告 FortiMail 漏洞 CVE-2026-104286 的活躍利用。上述已修復版本與該單獨通告中指定的版本重疊。Fortinet 尚未確認此先前披露的漏洞屬於新的協同加固版本。然而，使用受影響 FortiMail 版本的組織應確保亦已處理單獨報告的問題。
5. FortiAuthenticator
FortiAuthenticator 支援身份與認證服務。
- 受影響: 8.0.0–8.0.3
已修正: 8.0.4 或更高版本 - 受影響: 6.6.0–6.6.10
已修正: 6.6.11 或更高版本
注意: 這些版本範圍取自 Fortinet 公佈的公告。請在進行更改前檢查相關產品釋出說明與升級指引。舉例來說，FortiOS 與 FortiManager 在某些釋出分支上有不同的已修復版本號。
CVE 號碼與技術細節：我們知道什麼？
截至 2026 年 10 月 23 日，Fortinet 尚未公佈協同加固問題的個別 CVE 識別碼、CVSS 分數或詳細技術說明。
公司已確認更新包含關鍵與高嚴重度修復。然而，公告並未說明每個漏洞的精確攻擊向量、利用需求或影響。
Fortinet 已於 2026 年 11 月 10 日透過其產品安全事件回應團隊（PSIRT）排程對應的公開安全通告。
在該等通告可用前，安全團隊應避免在缺乏支援證據的情況下為單個問題指派 CVE 號碼或嚴重度分數。
缺乏詳細技術資訊並不代表組織應延遲修復。Fortinet 已經確認受影響版本並提供相關修復。
安全團隊現在應該怎麼做？
使用這些產品的組織應先檢查已安裝的版本，並找出需要升級的系統。
1. 檢查 Fortinet 庫存
涵蓋 FortiGate 機制、FortiManager、FortiAnalyzer、FortiMail 與 FortiAuthenticator，涵蓋本地與雲端環境。
不要假設每臺裝置都執行相同版本。將每個部署與受影響的版本範圍進行比對。
2. 優先處理對外網路開放的系統
辨識可從網際網路存取的裝置與管理介面。先為公開系統排程升級，並依照適當的測試與變更管理程式執行。
3. 備份設定並套用修復
升級前先備份目前設定。依照 Fortinet 推薦的升級路徑進行，並驗證裝置在變更後正常運作。
對 FortiManager Cloud，檢查是否需要手動更新。對於公共雲端例項，請依照適用雲端供應商的釋出流程執行。
4. 若無法立即升級，限制存取
若無法立即完成升級，請在變更安排期間降低不必要的暴露。
- 限制 HTTPS 與 SSH 管理存取僅允許可信 IP 位址。
- 在可行的情況下停用外部介面的管理存取。
- 確保 FortiManager 管理介面不會直接從網際網路可達。
- 適當時可考慮使用帶外存取或將裝置置於 VPN 或 SASE 解決方案後方進行管理。
- 在支援且適合環境的情況下使用虛擬修補。
- 強制使用強而獨特的管理員憑證並啟用多因素驗證。
這些措施可降低暴露風險，但並不取代必要的軟體升級。
5. 檢閱日誌以偵測可疑活動
檢查是否有異常管理員登入、意外的設定變更以及對管理介面的可疑存取。
若發現任何異常，請進行調查，而非僅假設安裝更新即可解決問題。
6. 驗證雲端部署
Fortinet 表示 FortiSASE 會自動更新；FortiManager Cloud 可能需要手動更新，而公有雲例項則遵循相關雲端合作夥伴的釋出流程。
確認自身部署的狀態，而非假設每個雲端例項已經完成更新。
讀者影響
使用 Fortinet 產品的組織應將此視為涵蓋網路安全、集中管理、安全分析、電子郵件安全與驗證基礎建設的協同漏洞修復演練。
管理平臺值得特別關注。FortiManager 與 FortiAnalyzer 是更廣泛安全環境的一部分，忽略它們會導致重要系統未被修補，即使防火牆本身已升級。
安全團隊亦應檢查第三方供應商及受管理服務供應商，確認其安裝版本、修復計畫及暫時存取限制，尤其在升級仍待進行時。
對 FortiMail 使用者而言，單獨披露的 CVE-2026-104286 亦應參照 Fortinet 的專門建議與修復指引。
結論
Fortinet 已釋出跨五款產品的修補程式，但針對新協同加固問題的詳細建議將於 2026 年 11 月 10 日才公佈。
組織不必等待這些公告才開始修復。
檢查您的資產清單，辨識受影響的系統，優先處理對外部網路可見的裝置並安裝相應的修補版本。若無法立即升級，請限制管理存取並監控可疑活動。
重要的不僅是知道 Fortinet 已釋出更新，而是確保每個受影響的部署皆已被辨識、修補並驗證。