Şirketiniz bir FortiGate güvenlik duvarı kullanıyorsa, FortiOS yazılımını çalıştırdığı dala göre şimdi 8.0.2, 7.6.8, 7.4.13 veya 7.2.14 sürümüne güncelleyin. Fortinet 21 Ekim 2026 tarihinde, 22 Ekim tarihinden beri mevcut olan bu sürümlerin, ileri düzey yapay zekâ modellerinin yardımıyla bulunan kritik ve yüksek önem dereceli açıkları kapattığını ve ayrıntıları 10 Kasım tarihinde yayımlayacağını duyurdu. Bu tarihten sonra her saldırgan nereye bakacağını bilecek ve güncellenmemiş cihazlar kolay hedef hâline gelecek. Güncelleme genellikle kısa bir bakım penceresi gerektirir; asıl risk onu ertelemektir.

Fortinet tam olarak ne duyurdu?

Fortinet'in Bilgi Güvenliği Direktörü Carl Windsor, «Fortinet Releases Security Hardening Release for Multiple Products» başlıklı resmî bir duyuru yayımladı. Duyuruya göre düzeltmeler, Anthropic, OpenAI, Google ve SpaceX ile yürütülen, yani 4 dış kuruluşun katıldığı ve ileri düzey yapay zekâ kullanan bir güvenlik testi programından geliyor. Fortinet henüz CVE numaralarını ve puanlarını yayımlamadı; bunlar 10 Kasım'da PSIRT bültenlerinde yer alacak. Bu ayın başında istismar edilen bir FortiMail açığını yazmıştık; bu sürüm daha kapsamlı, çünkü güvenlik duvarının kendisini kapsıyor.

Neden 10 Kasım'ı beklememeli?

Nedeni Fortinet'in kendisi açıklıyor: Yapay zekâ araçları artık saldırganların eski sürümle yenisini karşılaştırmasına, farktan açığı çıkarmasına ve haftalar yerine saatler ya da günler içinde çalışan bir istismar kodu oluşturmasına yardım ediyor. Bir düzeltmeyi yayımlamak sırrın bir kısmını ele veriyor; dolayısıyla 22 Ekim ile 10 Kasım arasındaki 19 gün güvenli bir ek süre değil, bir yarış. Fortinet, yapay zekânın daha düşük önemdeki açıkları da istismar edilebilir hâle gelene kadar birbirine zincirleyebildiğini ekliyor.

En açıkta olan şirketler; çalışanları bir FortiGate üzerinden VPN ile uzaktan çalışanlar, şubelerini ve depolarını merkeze onun üzerinden bağlayanlar ve cihazlarını ofis dışından internet üzerinden yönetenlerdir. Bu durumlarda cihaz internetteki herkes tarafından görülebilir ve ayrıntılar yayımlandığında bir saldırganın deneyeceği ilk şey olur. Cihazınızı dış bir hizmet sağlayıcı yönetiyorsa güncellediğini varsaymayın: yeni sürüm numarasını ve yükseltme tarihini yazılı olarak teyit etmesini isteyin.

Hangi sürümlere ihtiyacınız var?

  • FortiOS (FortiGate işletim sistemi): 8.0 dalı için 8.0.2, 7.6 için 7.6.8, 7.4 için 7.4.13 ve 7.2 için 7.2.14 ya da daha yeni herhangi bir sürüm.
  • FortiManager ve FortiAnalyzer (merkezî yönetim ve kayıtlar): 8.0.2, 7.6.8, 7.4.12 ve 7.2.13 veya daha yenisi.
  • FortiMail (e-posta ağ geçidi): 8.0.2, 7.6.7 ve 7.4.9; 7.2 dalının 7.4 veya üstüne geçmesi gerekir.
  • FortiAuthenticator (kimlik): 8.0.4 ve 6.6.11 veya daha yenisi.

Cihazınız bu listede olmayan bir dalda çalışıyorsa, sağlayıcınıza bu dalın hâlâ güvenlik güncellemesi alıp almadığını sorun. Almıyorsa cihazın daha büyük bir yükseltmeye ihtiyacı var demektir.

Bu hafta BT ekibinizden isteyeceğiniz beş adım

  1. Envanter: merkezdeki ve şubelerdeki her FortiGate ve FortiManager cihazının, her birinin çalıştırdığı sürümle birlikte listesi.
  2. Önce internete açık cihazlar: çalışanların VPN bağlantılarını alan ya da şubeleri birbirine bağlayan güvenlik duvarı, Fortinet'in önerdiği gibi ilk sırada güncellenir.
  3. Yükseltmeden önce yapılandırmayı yedekleyin: bir şey bozulursa geri dönebilmek için.
  4. Doğru yükseltme yolunu izleyin: birbirinden uzak sürümler arasında atlamak ara adımlar gerektirebilir ve Fortinet'in resmî yükseltme yolu aracı bunları listeler.
  5. Kayıtları inceleyin: cihazda olağan dışı herhangi bir yönetici girişi arayın; duyuru bunu açıkça öneriyor.

Hemen güncelleyemiyorsanız

Geçici bir önlem olarak Fortinet, yönetim arayüzlerini (HTTPS ve SSH) güvenilir IP adresleriyle sınırlamayı, internete açık arayüzde yönetimi kapatmayı, her yönetici hesabı için güçlü ve benzersiz parolalar kullanmayı ve tüm yöneticiler için çok faktörlü kimlik doğrulamayı zorunlu kılmayı öneriyor. Bu önlemler riski ortadan kaldırmadan azaltır; yükseltmeye giden bir köprüdür, onun yerine geçmez.

Hiç gelmeyecek uygun bir anı beklemek yerine yükseltme tarihini şimdi belirlemek daha iyidir: bir hafta içi akşamı ya da hafta sonunu seçin, çalışanları ve şubeleri olası kısa bir kesinti konusunda önceden uyarın ve ardından ekipten her cihazı ve yeni sürüm numarasını listeleyen kısa bir rapor isteyin. Böylece bir sonraki kritik güncelleme yayımlandığında başvurabileceğiniz açık bir kaydınız olur.

Origami'nin görüşü

Güvenlik duvarı şirketinizin internete açılan kapısıdır ve çoğu işletme onu satın alıp yıllarca unutur. Değişen şu: saldırganlar artık açıkları bulan yapay zekâ araçlarının aynısına sahip, bu yüzden bir düzeltmenin yayımlanmasıyla açığın istismar edilmesi arasındaki süre giderek kısalıyor. Bu nedenle her şirketin yazılı bir politikaya ihtiyacı olduğunu düşünüyoruz: cihazı kim güncelliyor, kritik bir düzeltmeden sonra kaç gün içinde ve bunun yapıldığını kim kontrol ediyor. Ağınızın veya internete açık sistemlerinizin incelenmesini istiyorsanız bizimle iletişime geçin.

Kaynaklar