Les versions de la « security hardening release » de Fortinet sont disponibles depuis le 22 octobre 2026. Les CVE qu'elles corrigent ne seront publiées que le 10 novembre, mais Fortinet demande de mettre à jour sans attendre — nous avons détaillé pourquoi dans notre article sur cette mise à jour de sécurité.
Ce guide répond à la question suivante : comment passer un parc FortiGate en 7.4.13 ou 7.6.8 sans casser la production. Tout ce qui suit vient des notes de version officielles de Fortinet.
Les builds à installer
| Branche | Version | Build | Notes de version |
|---|---|---|---|
| 8.0 | 8.0.2 | 0251 | docs.fortinet.com |
| 7.6 | 7.6.8 | 3744 | docs.fortinet.com |
| 7.4 | 7.4.13 | 2933 | docs.fortinet.com |
| 7.2 | 7.2.14 | 1778 | docs.fortinet.com |
Reste dans ta branche : passer de 7.4.12 à 7.4.13 est une mise à jour corrective. Changer de branche (7.4 vers 7.6) est un autre projet, avec ses propres changements de comportement, à ne pas mélanger avec l'urgence de sécurité.
Vérifier la version et le build d'un FortiGate :
get system status
1. Respecter l'ordre de mise à jour de la Security Fabric
Les notes de version de la 7.4.13 fixent un ordre : les équipements qui en gèrent d'autres passent en premier.
- FortiAnalyzer
- FortiManager
- FortiGate
- FortiExtender gérés
- FortiSwitch gérés
- FortiAP gérés
- FortiClient EMS, puis FortiClient
- Les autres produits de la Fabric (FortiSandbox, FortiMail, FortiWeb, FortiNAC…)
Pour la 7.4.13, Fortinet indique une compatibilité avec FortiAnalyzer et FortiManager 7.4.10. Comme FortiManager et FortiAnalyzer font eux-mêmes partie de la mise à jour de sécurité (7.4.12 en branche 7.4), la séquence logique est : FortiAnalyzer 7.4.12, FortiManager 7.4.12, puis les FortiGate en 7.4.13.
Security Fabric activée : tous les FortiGate de la Fabric doivent être mis à jour vers la même version — les notes de la 7.4.13 sont explicites sur ce point.
2. Vérifier le chemin de mise à jour
Selon la version de départ, il peut falloir passer par des versions intermédiaires. Fortinet ne liste pas ces chemins dans les notes de version : il renvoie à son Upgrade Path Tool sur la bibliothèque documentaire (modèle, version actuelle, version cible).
⚠️ Les notes de la 7.4.13 rappellent une limite connue : sur certaines versions antérieures, la mise à jour par l'interface web ne respecte pas le chemin de mise à jour et peut sauter les étapes intermédiaires, au risque de perdre une partie de la configuration. Si le chemin comporte plusieurs étapes, installe chaque version intermédiaire une par une.
3. Préparer chaque équipement
- Sauvegarder la configuration juste avant la mise à jour (interface web : menu du compte administrateur, Configuration > Sauvegarde ; ou en CLI, par exemple
execute backup config usb <fichier>). - Vérifier l'intégrité de l'image téléchargée : les notes de version comportent une section Firmware image checksums, et les sommes de contrôle sont disponibles sur le portail de support Fortinet.
- Lire les « Special notices » de la version cible : pour la 7.6.8, elles signalent notamment un cas où la configuration ne peut pas être restaurée après réactivation du chiffrement des données privées, et la prise en charge par FortiManager de la nouvelle clé de chiffrement de FortiOS. Pour la 7.2.14, elles mettent en garde contre un risque de verrouillage de l'accès administrateur lors d'une mise à jour ou d'un retour arrière depuis des versions utilisant PBKDF2.
- Prévoir le retour arrière : la section Downgrading to previous firmware versions des notes de version indique ce qui est conservé ou perdu.
4. Clusters HA : les pièges connus
Les problèmes connus listés par Fortinet qui concernent directement la mise à jour d'un cluster :
| Bug | Versions | Ce qui se passe | Contournement |
|---|---|---|---|
| 1226122 | 7.4.13, 7.6.8 | En mode de mise à jour HA « local-only » ou « secondary-only », pas de bouton de mise à jour sur l'interface du secondaire | Mettre à jour le secondaire en CLI |
| 781171 | 7.4.13 | L'interface affiche « Image upgrade failed » si le secondaire met plusieurs minutes à redémarrer | Aucun : la mise à jour aboutit quand même |
| 1349258 | 7.4.13 (FortiGate 6000/7000) | La mise à jour sans interruption échoue de 7.2.13 vers 7.4.13 | Aucun publié |
| 1225359 | 7.4.13 (FortiGate 6000/7000) | Perte de trafic pendant une mise à jour « graceful » d'un cluster actif-passif avec override activé | Aucun publié |
Avant et après la mise à jour d'un cluster :
get system ha status
diagnose sys ha checksum cluster
5. Les problèmes connus à vérifier avant d'installer
FortiOS 7.4.13 :
- 1353958 — proxy explicite. Un problème connu lié précisément à la mise à jour vers les builds de cette correction de sécurité : les ports HTTPS non standard (par exemple 8443) avec inspection approfondie renvoient
ERR_EMPTY_RESPONSE. Si tu utilises le proxy explicite sur ce type de port, teste avant de généraliser. - 1035490 — modèles 2 Go de RAM. Une politique avec inspection en mode proxy peut ne plus fonctionner après la mise à jour. Contournement : redémarrer le FortiGate.
- 1213236 — FortiGate 700G / 701G. La vitesse par défaut des ports a changé depuis la 7.4.9 : des interfaces peuvent tomber après la mise à jour. Contournement : régler la vitesse du port sur auto.
FortiOS 7.6.8 :
- 1336373 — FortiGate 6000/7000 (seul problème nouveau de cette version). Le lien d'un transceiver 100G FR échoue sur le port 1-P4 quand RS-FEC est activé ; il fonctionne FEC désactivé.
- 1113304 — FortiSwitch gérés. Ils peuvent passer hors ligne après une mise à jour depuis 7.4.6 ou 7.6.0 si LLDP est désactivé sur l'interface FortiLink. Contournement : activer LLDP en réception et en émission sur FortiLink, ou recréer l'interface FortiLink.
- 1125805 — FortiGate VM sur AWS. L'interface web devient injoignable quand ACME est activé.
- 1035490 s'applique aussi aux modèles 2 Go en 7.6.8.
La liste complète compte plus d'une centaine d'entrées pour la 7.4.13 et une soixantaine pour la 7.6.8 : parcours les sections qui touchent tes fonctions (VPN IPsec, SD-WAN, HyperScale…).
6. Après la mise à jour
- Vérifier version et build :
get system status. - Vérifier l'état du cluster HA et la synchronisation.
- Contrôler les tunnels VPN, le routage et les politiques qui utilisent des interfaces : les notes de version de la 7.4.13 et de la 7.6.8 signalent que certaines politiques peuvent afficher des valeurs vides après une mise à jour.
- Surveiller les journaux d'administration, comme le recommande Fortinet dans son annonce : accès inhabituels, modifications non approuvées.
Questions fréquentes
Faut-il attendre la publication des CVE le 10 novembre ? Non. Fortinet demande de mettre à jour dès le 22 octobre, en commençant par les équipements exposés à Internet.
Peut-on passer directement de 7.4.x à 7.6.8 ? C'est un changement de branche : il dépend de l'Upgrade Path Tool et des changements de comportement de la 7.6. Pour la correction de sécurité, la 7.4.13 suffit.
Et FortiOS 7.0 ou 6.4 ? La mise à jour de sécurité de Fortinet ne les mentionne pas. Interroge le support Fortinet et prévois la migration vers une branche maintenue.
Pourquoi surveiller en continu votre parc Fortinet
Une campagne de mise à jour réussie se vérifie équipement par équipement : il suffit d'un FortiGate oublié en 7.4.12 pour que le 10 novembre le rende exposé.
Avec cveo.tech, garde l'inventaire de tes FortiGate, FortiManager et FortiAnalyzer avec leur version exacte, et reçois une alerte dès que les CVE du 10 novembre concernent un équipement resté en arrière.