如果贵公司使用FortiGate防火墙，请立即根据所运行的分支，将其FortiOS软件更新到8.0.2、7.6.8、7.4.13或7.2.14。Fortinet于2026年10月21日宣布，这些自10月22日起提供的版本修复了借助前沿AI模型发现的严重和高危漏洞，并将于11月10日公布细节。从那天起，每个攻击者都会知道该从哪里下手，未更新的设备将成为容易攻击的目标。更新通常只需要一个短暂的维护窗口；拖延才是真正的风险。

Fortinet究竟宣布了什么？

Fortinet首席信息安全官Carl Windsor发布了一份题为«Fortinet Releases Security Hardening Release for Multiple Products»的正式公告。公告称，这些修复来自一个使用前沿AI的安全测试项目，合作方包括Anthropic、OpenAI、Google和SpaceX，即4家外部机构。Fortinet尚未公布CVE编号和评分，这些信息将于11月10日出现在其PSIRT公告中。本月初我们曾报道过一个已被利用的FortiMail漏洞；这次发布范围更广，因为它涉及防火墙本身。

为什么不等到11月10日？

Fortinet自己给出了原因：AI工具如今能帮助攻击者比较新旧版本，从差异中推断出漏洞，并在几小时或几天内而不是几周内构建出可用的攻击程序。发布修复本身就泄露了部分秘密，因此从10月22日到11月10日的19天并不是安全的宽限期，而是一场赛跑。Fortinet还补充说，AI还能把严重程度较低的漏洞串联起来，直到它们可以被利用。

风险最高的是这几类企业：员工通过FortiGate上的VPN远程办公的企业、通过它将分支机构和仓库连接到总部的企业，以及在办公室外通过互联网管理设备的企业。在这些情况下，设备对互联网上的任何人都是可见的，一旦细节公开，它就是攻击者首先尝试的目标。如果由外部服务商管理您的设备，不要想当然地认为对方已经更新：请对方书面确认新的版本号和升级日期。

您需要哪些版本？

  • FortiOS（FortiGate的操作系统）：8.0分支为8.0.2，7.6分支为7.6.8，7.4分支为7.4.13，7.2分支为7.2.14，或任何更新的版本。
  • FortiManager和FortiAnalyzer（集中管理与日志）：8.0.2、7.6.8、7.4.12和7.2.13或更高版本。
  • FortiMail（邮件网关）：8.0.2、7.6.7和7.4.9；7.2分支必须迁移到7.4或更高版本。
  • FortiAuthenticator（身份认证）：8.0.4和6.6.11或更高版本。

如果您的设备运行的分支不在此列表中，请询问服务商该分支是否仍能获得安全更新。如果不能，该设备需要进行更大规模的升级。

本周要向IT团队提出的五个步骤

  1. 盘点：列出总部和各分支机构的所有FortiGate和FortiManager，以及每台设备运行的版本。
  2. 优先处理面向互联网的设备：按照Fortinet的建议，首先更新接收员工VPN连接或连接各分支机构的防火墙。
  3. 升级前备份配置：以便出现问题时可以回退。
  4. 遵循正确的升级路径：在相隔较远的版本之间跳转可能需要中间步骤，Fortinet官方的升级路径工具会列出这些步骤。
  5. 检查日志：查找设备上任何异常的管理员登录；公告明确建议这样做。

如果无法立即更新

作为临时措施，Fortinet建议将管理接口（HTTPS和SSH）限制在可信IP地址，关闭面向互联网接口上的管理功能，为每个管理员账户使用强且唯一的密码，并对所有管理员强制启用多因素认证。这些措施能降低风险但无法消除风险；它们是通往升级的过渡，而不是替代。

与其等待一个永远不会到来的合适时机，不如现在就定下升级日期：选择一个工作日晚上或周末，提前通知员工和各分支机构可能出现短暂中断，并在完成后让团队提交一份简短报告，列出每台设备及其新版本号。这样，当下一个关键更新发布时，您就有一份清晰的记录可供查阅。

Origami的观点

防火墙是贵公司通往互联网的大门，而大多数企业买来之后就会把它遗忘多年。正在发生变化的是，攻击者现在拥有与发现漏洞相同的AI工具，因此从修复发布到漏洞被利用之间的时间正在不断缩短。所以我们认为，每家公司都需要一份书面制度：由谁更新设备、在关键修复发布后多少天内完成、由谁核实已经完成。如果您希望审查您的网络或面向互联网的系统，请联系我们。

资料来源