CVE-2026-59838: XSS-sårbarhed i Fortinet FortiSIEM
Fortinet FortiSIEM har en XSS-sårbarhed (CVE-2026-59838). Opdatér til rettet version og vær forsigtig med links i platformen.
Hvad er det?
CVE-2026-59838 er en fejl i Fortinet FortiSIEM, hvor systemet ikke renser html-kode korrekt i en webside. Det kaldes cross-site scripting, forkortet XSS: en angriber kan indlejre skadelig kode i en side, så koden køres i browseren hos en bruger, der besøger siden. Fejlen er registreret under CWE-80, som dækker mangelfuld filtrering af html-tags i weboutput.
Hvem rammer det?
Sårbarheden rammer Fortinet FortiSIEM i versionerne 6.4.0 til før 7.2.7, 7.3.0 til før 7.3.5 samt 7.4.0. FortiSIEM bruges typisk til overvågning af sikkerhedshændelser og logdata i mellemstore virksomheder og kommuner, ofte administreret af it-drift eller et sikkerhedsteam. Alle installationer i de nævnte versionsintervaller bør kontrolleres.
Hvad kan ske?
Angrebet kræver, at en bruger med høje rettigheder i FortiSIEM klikker på et forberedt link eller besøger en manipuleret side i systemet. Sker det, kan angriberens kode køre i brugerens browsersession og udføre handlinger eller læse data, som brugeren har adgang til. I praksis kan det bruges til at kapre en administrators session eller ændre data i overvågningssystemet, uden at angriberen selv behøver kendskab til login.
Hvor alvorligt er det?
CVSS-scoren er 5,9 ud af 10, moderat risiko. Angrebet kræver netværksadgang og er teknisk enkelt at udføre, men forudsætter både høje rettigheder hos offeret og at offeret aktivt klikker på et link eller åbner en manipuleret side. Konsekvensen ved succesfuldt angreb er begrænset til lav påvirkning af fortrolighed, integritet og tilgængelighed. Der er ikke oplysninger om, at sårbarheden udnyttes aktivt, og der foreligger ingen offentlig kode til at udnytte den.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen i mellemtiden:
- Opdatér FortiSIEM til version 7.2.7 eller nyere, 7.3.5 eller nyere, eller den rettede version i 7.4-serien afhængigt af jeres nuværende spor.
- Gennemgå hvem der har administrator- eller andre høje rettigheder i FortiSIEM, og begræns adgangen til dem, der reelt har brug for det.
- Informér brugere med høje rettigheder om ikke at klikke på links eller åbne vedhæftede sider fra ukendte afsendere i eller omkring FortiSIEM.
- Kontrollér logs for usædvanlig aktivitet i FortiSIEM-brugersessioner i perioden efter offentliggørelsen.
- Er I i tvivl om, hvilken version I kører, eller kan opdateringen ikke gennemføres med det samme, så få hjælp fra en sikkerhedsrådgiver til midlertidig afskærmning af adgangen.
Opdatér ved næste planlagte vedligehold
Vi anbefaler, at I opdaterer FortiSIEM til den rettede version som en del af jeres almindelige opdateringscyklus, da sårbarheden kræver høje rettigheder og brugerhandling for at kunne udnyttes. Det er acceptabelt at vente til et planlagt vedligeholdelsesvindue, så længe adgangen til høje rettigheder i systemet er begrænset og overvåget i mellemtiden. Har I mange brugere med administratoradgang til FortiSIEM, bør I fremskynde opdateringen.
Tidslinje
Konkrete eksempler
Phishing-link mod administrator i en kommunes SOC
En medarbejder med administratorrettigheder i en kommunes sikkerhedsovervågning modtager en e-mail med et link, der ser ud til at høre til FortiSIEM. Ved klik afvikles skadelig kode i browsersessionen, og angriberen får mulighed for at ændre indstillinger eller læse hændelsesdata, medarbejderen har adgang til. Havde FortiSIEM været opdateret til den rettede version, ville koden være blevet neutraliseret, før den kunne køre.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-59838?
I er ramt, hvis I kører Fortinet FortiSIEM i version 6.4.0 til 7.2.6, 7.3.0 til 7.3.4, eller 7.4.0. Tjek jeres version i FortiSIEMs administrationskonsol under systemoplysninger.
Hvordan tjekker vi, om vi er sårbare?
Se den installerede FortiSIEM-version i administrationskonsollen, og sammenhold den med de ramte intervaller. Ligger versionen inden for intervallerne, bør I planlægge opdatering.
Kan vi vente til weekenden med at opdatere?
Ja, i de fleste tilfælde. Sårbarheden kræver, at en bruger med høje rettigheder aktivt klikker på et forberedt link, og der er ikke tegn på aktiv udnyttelse. I kan lade opdateringen indgå i næste planlagte vedligeholdelsesvindue.
Skal vi anmelde hændelsen til myndighederne?
Nej, ikke alene på baggrund af denne sårbarhed. En anmeldelsespligt opstår kun, hvis I konstaterer et faktisk sikkerhedsbrud med tab af data eller adgang, ikke ved offentliggørelse af en sårbarhed.
Hvem i vores organisation bør vide dette?
It-drift eller det team, der administrerer FortiSIEM, bør informeres, samt de medarbejdere med høje rettigheder i systemet, så de er opmærksomme på ikke at klikke på mistænkelige links.
Ramte produkter
Fortinet: Fortisiem
≥ 6.4.0, < 7.2.7
Fortinet: Fortisiem
≥ 7.3.0, < 7.3.5
Fortinet: Fortisiem
7.4.0
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:L
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A improper neutralization of script-related html tags in a web page (basic xss) vulnerability in Fortinet FortiSIEM 7.4.0, FortiSIEM 7.3.0 through 7.3.4, FortiSIEM 7.2.0 through 7.2.6, FortiSIEM 7.1 all versions, FortiSIEM 7.0 all versions, FortiSIEM 6.7 all versions, FortiSIEM 6.6 all versions, FortiSIEM 6.5 all versions, FortiSIEM 6.4 all versions may allow attacker to execute unauthorized code or commands via
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.