تنبيه أمني من مركز الاستجابة الأمنية كارن آي تي

رقم الإرشاد: KSRC-2026-11154 | تاريخ النشر: 15 نوفمبر 2026

خطأ في التحقق من الأصل في FortiClient يؤدي إلى تنفيذ تعليمات برمجية عن بُعد
CVE-2026-121529 (Fortinet2Shell)

الملخص

تم اكتشاف ثغرة حرجة من نوع خطأ التحقق من الأصل في Fortinet FortiClient لأنظمة Windows وmacOS وWindows PAM. تحمل هذه الثغرة المعرّف CVE-2026-121529 (ويُشار إليها أيضاً في مجتمع الأمن باسم «Fortinet2Shell») وقد تسمح لمهاجم عن بُعد غير مخوّل بتنفيذ تعليمات أو أوامر غير مصرح بها على نقطة النهاية المتأثرة.

تم تقييم الثغرة بدرجة خطورة تصل إلى 9.6 (حرجة) وفق معيار CVSS v3.1. يتطلب الاستغلال الناجح تفاعلاً من الضحية (على سبيل المثال زيارة صفحة ويب مصمّمة). صدرت الإصدارات المُصلحة ضمن إرشاد Fortinet FG-IR-26-194.

نظرة تقنية

يعرّض FortiClient نقطة نهاية API محلية لم تتحقق بشكل صحيح من أصل الطلبات الواردة (CWE-346 – Origin Validation Error). بسبب فحوصات الأصل / CORS غير الكافية، يمكن لصفحة ويب خبيثة تُفتح في متصفح الضحية التواصل مع هذه الـ API المحلية وتشغيل تعليمات أو أوامر على المضيف.

لا يلزم تسجيل الدخول إلى FortiClient. يبدأ الهجوم من الشبكة (عبر متصفح الضحية) ويمتد التأثير إلى سرية وسلامة وتوفر نقطة النهاية. FortiClient EMS ووكيل FortiClient Free VPN غير متأثرين بهذه الثغرة تحديداً.

الأنظمة المتأثرة

FortiClient Windows 7.4: من 7.4.0 إلى 7.4.7
FortiClient Windows 7.2: من 7.2.0 إلى 7.2.14
FortiClient macOS 7.4: من 7.4.0 إلى 7.4.7
FortiClient Windows PAM 7.4: حتى 7.4.7
FortiClient Windows PAM 7.2: حتى 7.2.14

الإصدارات المُصلحة:

FortiClient Windows / Windows PAM 7.4: 7.4.8 أو أحدث
FortiClient Windows / Windows PAM 7.2: 7.2.15 أو أحدث
FortiClient macOS 7.4: 7.4.8 أو أحدث
فرع 8.0 غير متأثر

FortiClient EMS وFortiClient Free VPN غير متأثرين. راجع إرشاد Fortinet PSIRT FG-IR-26-194 للتفاصيل الرسمية.

حالة الاستغلال

الإفصاح العلني في 10 نوفمبر 2026 (FG-IR-26-194).
يتطلب تفاعلاً من المستخدم (مثل فتح صفحة مصمّمة في المتصفح).
توجد مناقشات ومواد إثبات مفهوم في مجتمع الأمن.
لم يتم تأكيد استغلال واسع النطاق في الطبيعة حتى تاريخ نشر هذا الإرشاد.
غير مدرج في كتالوج CISA للثغرات المستغلة المعروفة (KEV) في وقت كتابة هذا الإرشاد.
لم يقدّم Fortinet رقعة افتراضية؛ يلزم ترقية نقطة النهاية.

التوصيات

الإجراء الفوري: قم بترقية جميع وكلاء FortiClient المتأثرين إلى الإصدار المُصلح لفرعهم (7.4.8+ أو 7.2.15+ حسب الحالة، أو الانتقال إلى 8.0 حيثما كان مدعوماً).
قم بجرد عمليات نشر FortiClient عبر المؤسسة (Windows وmacOS وWindows PAM) وتأكد من الإصدارات المثبتة عبر EMS أو أدوات إدارة نقاط النهاية.
أعطِ الأولوية لنقاط النهاية المستخدمة من قبل المستخدمين ذوي الصلاحيات العالية، والعاملين عن بُعد، والأنظمة التي تتصفح محتوى ويب غير موثوق بشكل متكرر.
تأكد من التحقق من نشر التحديث على نقطة النهاية نفسها؛ تحديث FortiGate أو EMS وحده لا يعالج ثغرة العميل.
ذكّر المستخدمين بعدم فتح روابط غير متوقعة أو زيارة مواقع غير موثوقة أثناء تشغيل FortiClient، حتى اكتمال نشر التصحيح.
راجع سجلات نقاط النهاية والمتصفح بحثاً عن نشاط غير معتاد حول نقاط نهاية API المحلية لـ FortiClient في حال الاشتباه في الاختراق.
في حال الاشتباه في حدوث اختراق، اعزل نقطة النهاية، واحفظ الأدلة الجنائية، ودوّر بيانات الاعتماد المتاحة من ذلك النظام، وقم بمراجعة سلامة شاملة قبل إعادته للخدمة.

نظراً للانتشار الواسع لـ FortiClient كوكيل VPN وأمن نقاط النهاية في المؤسسات، ينبغي على المؤسسات التعامل مع هذا كتحديث ذي أولوية عالية لنقاط النهاية، خاصة للفئات التي تصل إلى الإنترنت بانتظام.

الدعم من مركز الاستجابة الأمنية كارن آي تي

مركز الاستجابة الأمنية كارن آي تي (KSRC) على استعداد تام لمساعدة المؤسسات في أي استفسارات أو إرشادات فنية أو مسائل متعلقة بالحوادث الناتجة عن هذه الثغرة.

سواء كنتم بحاجة إلى جرد الإصدارات، أو تخطيط الترقية، أو تنسيق الاستجابة، فإن فريقنا متاح للمساعدة.

كارن آي تي
نجعل الإنترنت أصعب على المسيئين.