FortiOS 7.6.8, 7.4.13, 8.0.2 et 7.2.14 : la mise à jour de sécurité Fortinet d'octobre 2026, avant les CVE du 10 novembre

Le 21 octobre 2026, Carl Windsor, RSSI de Fortinet, a annoncé une « security hardening release » pour FortiOS, FortiManager et FortiAnalyzer, avec des versions disponibles dès le 22 octobre. Elle fait suite à des mises à jour du même type pour FortiMail et FortiAuthenticator.

Fortinet indique que ces versions corrigent des failles de sévérité critique et élevée. Mais il ne publie aucun identifiant CVE, aucun avis FG-IR et aucun score : les avis détaillés ne paraîtront que le 10 novembre 2026, lors du Patch Tuesday, sur la page FortiGuard PSIRT.

Autrement dit : on sait quoi installer, pas encore ce que ça corrige. Ce n'est pas une raison d'attendre — au contraire.

Pourquoi ne pas attendre le 10 novembre

Fortinet le dit lui-même dans son annonce : une fois les correctifs publiés, comparer l'ancienne et la nouvelle version (le « patch diffing ») permet de retrouver le code corrigé, donc la faille. Et les outils d'IA raccourcissent ce délai à quelques heures ou quelques jours.

Ces failles ont d'ailleurs été trouvées grâce au programme de tests de sécurité assistés par IA de Fortinet, mené avec Anthropic, OpenAI, Google et SpaceX. Ce qu'une IA a trouvé côté défense, une IA peut le retrouver côté attaque à partir du correctif.

Le scénario à éviter est donc simple : les versions corrigées sont publiques depuis le 22 octobre, les détails le seront le 10 novembre, et chaque jour entre les deux joue pour l'attaquant qui fait le travail d'analyse lui-même. Pour un parc FortiGate exposé à Internet, l'historique récent n'incite pas à l'optimisme : plusieurs failles Fortinet ont rejoint le catalogue CISA KEV ces derniers mois.

À la date de rédaction, Fortinet ne signale aucune exploitation de ces failles.

Versions à installer

Versions publiées par Fortinet ; la version corrigée est la première de chaque branche qui contient les correctifs.

⚠️ Attention aux numéros qui se ressemblent : en 7.4, la version à installer est 7.4.13 pour FortiOS mais 7.4.12 pour FortiManager et FortiAnalyzer.

Services managés. FortiSASE est mis à jour automatiquement par Fortinet. Les mises à jour de FortiManager Cloud sont disponibles mais peuvent demander une action manuelle. Les instances déployées chez un fournisseur de cloud public sont mises à jour via ce fournisseur.

Branches absentes du tableau. L'annonce ne mentionne ni FortiOS 7.0, ni 6.4. Elle ne dit pas si ces branches sont concernées. Si tu en exploites encore, demande la réponse à ton support Fortinet — et considère que le 10 novembre risque de te mettre devant le fait accompli.

Vérifier la version d'un FortiGate :

get system status

Ordre de bataille

Les recommandations de Fortinet, dans l'ordre où les appliquer :

1. Inventorier tous les FortiGate, FortiManager et FortiAnalyzer, y compris les instances virtuelles et cloud.
2. Sauvegarder la configuration de chaque équipement avant la mise à jour.
3. Mettre à jour d'abord les équipements exposés à Internet, dans une fenêtre de maintenance planifiée dès les 22 et 23 octobre selon Fortinet.
4. Surveiller les journaux avant et après la mise à jour : accès d'administration inhabituels, modifications de configuration non approuvées.

Si la mise à jour doit attendre, Fortinet recommande, sans que cela la remplace :

• Administrer hors bande et restreindre les interfaces d'administration (HTTPS, SSH) à des adresses de confiance, ou les désactiver sur les interfaces externes ;
• Ne jamais exposer FortiManager sur Internet ;
• Placer les ressources derrière un VPN ou un SASE quand c'est possible ;
• Appliquer des correctifs virtuels (IPS) ;
• Imposer des identifiants forts et uniques et la double authentification à tous les comptes d'administration.

Détection

Sans détail sur les failles, la surveillance porte sur les signes génériques d'une compromission d'équipement réseau :

• Comptes administrateurs inconnus ou récemment créés : show system admin
• Connexions d'administration depuis des adresses inhabituelles, en particulier en SSH ou sur l'interface web exposée
• Modifications de configuration que personne n'a faites : politiques, VPN, routes, DNS
• Plantages ou redémarrages inexpliqués de processus

execute log filter category event
execute log display
diagnose debug crashlog read

Questions fréquentes

Quelles sont les CVE corrigées ? Fortinet ne les publiera que le 10 novembre 2026. Nous mettrons cet article à jour à ce moment-là avec les identifiants, les scores et les détails.

Mon FortiGate est-il concerné ? Oui, si sa version FortiOS figure dans les plages du tableau : un FortiGate exécute FortiOS. Toutes les branches maintenues (8.0, 7.6, 7.4, 7.2) ont une version corrigée.

Peut-on attendre les détails pour décider ? C'est précisément le pari que Fortinet déconseille : les correctifs sont publics, et leur analyse peut révéler les failles bien avant le 10 novembre.

Pourquoi Fortinet procède-t-il ainsi ? Fortinet explique vouloir concilier transparence et sécurité de ses clients : laisser le temps de mettre à jour avant de publier des détails exploitables.

Pourquoi surveiller en continu votre parc Fortinet

Une mise à jour critique sans CVE ne déclenche rien dans les outils qui ne lisent que les bases de vulnérabilités : il n'y a encore rien à y lire. Le jour où les CVE paraîtront, il faudra savoir immédiatement quels équipements tournent encore sur une version concernée.

Avec cveo.tech, inventorie tes FortiGate, FortiManager et FortiAnalyzer avec leur version exacte, et reçois une alerte dès que les CVE publiées le 10 novembre les concernent.