Home   2026-10-22 19:56:51

←

Fortinet brengt vandaag kritieke patches uit die klanten snel moeten installeren

Original article

Fortinet brengt donderdag 22 oktober een reeks securityupdates uit voor zijn producten. Het raadt gebruikers met klem aan die patches meteen na release te installeren. De updates zijn voor verantwoord gemelde kwetsbaarheden, die mede met hulp van geavanceerde AI-modellen zijn gevonden.

Fortinet vermeldt AI-aanbieders Anthropic, OpenAI, Google en SpaceX in de blogpost waarin het de belangrijke beveiligingsupdates aankondigt. Fortinet heeft een samenwerkingsprogramma voor AI-ondersteunde securitytests. De gecoördineerde reeks securityupdates is bedoeld voor versies 7.2 tot en met 8.0 van FortiOS, FortiManager en FortiAnalyzer. Deze patches volgen op gister uitgebrachte updates voor verschillende versies van Fortinets producten FortiMail en FortiAuthenticator.

Hackgevaar

FortiAnalyzer. Bron: Fortinet
FortiAnalyzer. Bron: Fortinet

Het bedrijf raadt elke klant met klem aan om deze updates meteen te installeren zodra ze beschikbaar zijn. Gebruikers moeten daarbij prioriteit geven aan Fortinet-apparaten die bereikbaar zijn vanaf het internet. Dit advies en de prioritering zijn vanwege het feit dat de kritieke kwetsbaarheden op afstand zijn te misbruiken om toegang te krijgen tot de beveiligingssystemen van de leverancier. Fortinet waarschuwt dat aanvallers de patches met AI-tools snel kunnen analyseren om dan exploitcode te maken.

Bedrijven en organisaties zijn al vaker geraakt door ernstige beveiligingsproblemen in de verschillende producten van Fortinet. Soms komt de leverancier relatief laat met fixes voor kritieke zerodaygaten. In andere gevallen benutten aanvallers bestaande kwetsbaarheden, waarvoor al updates beschikbaar zijn maar die klanten niet altijd hebben geïnstalleerd. Het bedrijf levert onder meer firewalls, antispamsystemen, endpointbescherming en detectiesystemen tegen digitale indringers.

Door Jasper Bakker

Nieuwsredacteur

Feedback • 22-10-2026 11:12
83 • submitter: MaxB98

22-10-2026 • 11:12

83

Submitter: MaxB98

Lees meer

Reacties (83)

Voor de collega's hier die zitten te wachten op de upgrade:
Hij is reeds te downloaden via het support portal, maar nog niet in de OTA catalog.
De catalog refreshen doe je via de CLI met: diagnose fdsm fds-update
Om dan te zien of hij al binnengekomen is: diagnose fdsm image-list
Is de upgrade ergens te downloaden? Wanneer we in FortiGate naar available updates zoeken staat er geen available update.
Ik heb via een account manager gehoord tussen 15 en 17 uur. Maar waarschijnlijk wel Sunnyvale tijd. Dat zou tussen middernacht en 02u uur NL tijd zijn.
Maar bij fortinet is het altijd eerst zien, dan geloven.
Ah, dan wachten we het af. Thanks!
Het Duitse moederbedrijf waar mijn werkgever deel van uitmaakt, heeft bij ons aangekondigd dat na 18:00 uur enige Fortinet gerelateerde systemen offline gaan om die patches te installeren.
Op de website met jou account, die moet je ook hebben lijkt mij als jij devices heb :).
Die heb ik zeker, maar ook de release notes geven nog 8.0.1 aan ;)
Klopt maar daar of Ota zal je hem als 1ste kunnen downloaden ;), ik zit ook al te wachten haha :P.
Moet sowieso hem downloaden vanaf daar, aangezien er ook 2 bijgewerkt moeten worden die niet direct aan het internet hangen(Ook dat moet bijgewerkt worden :) .

En eventueel je spare device bijv, wat handig kan zijn ingeval er 1 het begeeft.
8.0.2 kan inmiddels gedownload worden. Voor de 7-serie is het nog even afwachten...
Deze updates hebben niets met PHP2shell te maken.
Deze updates komen omdat er door AI naar gekeken is en deze een hoop lekken heeft gevonden. Daar hebben ze al een week of 4 geleden al aangekondigd. Dus ver voor dat PHP2Shell bekend was.
Ah bedankt voor deze extra informatie dat wist ik niet en zo wordt het ook niet helemaal gebracht vanuit Fortinet zoals ik dat vanochtend op de mail ontvangen heb dat men hier al langer mee bezig was
De PHP2Shell update zal dus ook nog wel volgen....
Dank voor dit linkje.

In de reacties daar wordt ook PFSense genoemd, die moet denk ik ook even bekeken worden inderdaad.
pfSense heeft gisteren avond al updates gereleased (moet je wel zelf installeren via de cli) https://forum.netgate.com/topic/201565/critical-php-security-update
Dit is wel enkel voor de php2shell kwetsbaarheid. Niet voor de issues van fortinet.
Ik geloof niet dat dit nieuwsbericht over php2shell gaat. Jouw link geeft aan dat op firewallniveau de php2shell aanval kan worden tegengehouden. Dit nieuwsbericht gaat over een heel ander lek.
Mee eens gaat mogelijk niet helemaal over hetzelfde lek.
Toch is Fortinet wel bezig met onderzoek naar alle producten om te zien of die kwetsbaar zijn voor de beide CVE's.

Daarnaast gebeurt het niet vaak dat ik de accountmanager van Fortinet heb die mij expliciet meld om zodra de nieuwe firmware beschikbaar is meteen te patchen
Super goed dat ze dit doen! Proactief zoeken naar kwetsbaarheden met alle frontier AI modellen. Net zoals Microsoft, CheckPoint en nu met PHP perikelen.. Dit zal de aankomende tijd steeds meer gebeuren!
Zeker goed, maar op den duur worden er door AI lekken gevonden die een mens in geen 1000 jaar ooit zou gevonden hebben, laat staan dan ook nog kunnen bedenken hoe ze te misbruiken 🙂

Maar als we daardoor uiteindelijk evolueren naar 'lekvrije' software door het vanuit een andere invalshoek aan te vliegen, voor mij ok.
Je huiswerk voor vandaag:

Gödels onvolledigheidsstelling en Turings stopprobleem.

Je kunt niet bewijzen dat een computerprogramma eindig is en je niet alle wiskunde van een bewijs (in wiskundige zin) voorzien. Er zijn problemen die niet op te lossen zijn. En, al heel snel (bijvoorbeeld als je input van 'buiten' toestaat) wordt een systeem zo complex dat je nooit alle mogelijkheden kunt overzien. En daaruit volgt dat een computersysteem nooit 'gegarandeerd' waterdicht en hackvrij te maken is.
Gödel en Turing hebben het over het algemene verhaal. Je kunt geen programma A maken dat voor elk willekeurig ander programma de correctheid ervan bewijst. Ga je naar een specifiek computersysteem, dan kun je wel degelijk aantonen dat dat specifieke systeem precies datgene doet wat het moet doen. Computers zoals wij die nu gebruiken zijn 100% deterministisch en daarmee wel degelijk waterdicht en hackvrij te maken. Dat kost een hoop en gebeurt dus zelden, maar het kán wel.
Er zitten wat aannames en hiaten in je stelling.

"Ga je naar een specifiek computersysteem, dan kun je wel degelijk aantonen dat dat specifieke systeem precies datgene doet wat het moet doen"

Hoe beschrijf je wat je computer moet doen? In taal/specificaties? Dan is het per definitie al ambigu. In code? Dan moet je nog een correctheid bewijs voor je compiler opleveren.

Dan nog het fenomeen van de state space explosion : ieder if-statement op weg van jouw muisklik naar de actie op het scherm verdubbeld (op zijn minst) het aantal codepaden. Ook een ai gaat dit niet oplossen. Hooguit omheen redeneren.

En dan nog het determinisme: zodra je een rand() functie gebruikt is die wel uit het raam.
Die rand() functie heeft helemaal geen invloed op determinisme. Het programma eromheen blijft qua gedrag net zo voorspelbaar als wanneer je er gewoon het getal 4 in drukt.

Zie verder CompCert. Ik zeg ook niet dat het mákkelijk is, of goedkoop, alleen dat het mógelijk is.
Computers zoals wij die nu gebruiken zijn 100% deterministisch en daarmee wel degelijk waterdicht en hackvrij te maken.
Weet je wat interrupts doen met je 'deterministische' computer? En denk je dat de onvoorspelbare data die je gebruikers aanleveren het beter maken?

Iedereen heeft wel eens gehad dat je de muis beweegt en dat dan je computer herstart of een BSOD krijgt. Da's een interrupt op het verkeerde moment.

Er zijn CPU's ontworpen die mathematisch bewijs voor hun correct functioneren hebben. Het eerste wat er uitgesloopt is, is iedere vorm van interrupt en timer. En dan wordt het opeens lastig programmeren.

Maar dit is meer een topic voor een forumdiscussie.
Klopt, maar ook de offensive kant gebruikt AI om deze lekken te vinden en te misbruiken, ook de lekken die een mens in geen 1000 jaar zou gevonden hebben.

Dus het is wel zaak om vuur met vuur te bestrijden in dit geval.
misschien moeten we eens nadenken of alles maar aan het internet of wifi moet hangen........... standaard... los van dit..


Of dat koelingen die via online aangestuurd worden van supermarkten alleen moeten kunnen koelen en niet verwarmen.. zoals in Frankrijk.
Even los van dit, het is wel handig dat een firewall aan het Internet hangt.
En toch is er een substantieel aandeel aan firewalls dat niet direct aan het internet hangt. De scheiding tussen je DMZ en je interne netwerk gebeurt meestal met een andere firewall dan die dat tussen het internet en je DMZ staat. Regelmatig zelfs met een firewall van een andere fabrikant.
offtopic:
Wat nexhil misschien mist is het inzicht dat er verschil is tussen de management interface en poorten die verkeer doen. Zeker bij 'grote' firewalls is de management interface iets wat aan de cpu die het ding bestuurd hangt, en dat hoeft helemaal niet aan het internet. Het verkeer van gebruikers gaat via andere interfaces, de data- en crypto engines en de integrated switch fabric. Simpelweg door de management interface onbereikbaar te houden wordt het enorm lastig om allerlei kwetsbaarheden in die interface te benaderen.
Even los van dit, het is wel handig dat een firewall aan het Internet hangt.
aan het internet hangen (even los van wat blokker ook al aangeeft) betekend niet noodzakelijkerwijs dat je 't ding kan bereiken.

Er zijn best wel een aantal security issues geweest met fortigates waarbij het specifiek ging om het feit dat de webinterface benaderd kon worden. Da's een pittig groot attack surface.
Dan hangt ie toch nog steeds aan het internet?

Maar je hoeft mijn oneliner niet verder te gaan debuggen. Ik weet hoe het werkt.
Local-in policy goed configureren en dat ding silent dropt alles afgezien het juiste ipz0r. :+
tot er een exploit is die je local-in-policy kan aan-/bypassen

er zijn er trouwens ook die via de LAN-kant dmv hem kunnen proberen aan te vallen, maar bij gebrek aan info is het moeilijk om daar nu al uitsluitsel over te geven. Het kan goed zijn dat er dus via een 0-day in je management-machine die trusted is een aanval wordt gedaan
If you cannot upgrade immediately, reduce exposure in the interim by:

- Restricting administrative interfaces (HTTPS, SSH) to trusted IP addresses or disable them on external interfaces
- Ensuring FortiManager administration is not reachable from the internet
- Following best practices, which include:
  • Using strong unique credentials
  • Enforcing MFA for all administrator accounts
These steps reduce risk but do not replace the need for a timely upgrade.
Nou ja kijk op zich een firewall aan het internet hangen is helemaal niet zo'n gek idee.

De management interface aan het internet hangen zou echter lijfstraffen op moeten leveren..

[Reactie gewijzigd door DigitalExorcist op 22 oktober 2026 13:06]

En hoe ga ik dan een fortigate van een klantlocatie beheren? Rekening houdend met het feit dat ik er dus altijd bij moet kunnen, ook als de VPN tunnel uitvalt.
Veel opties mogelijk (bv. client IPSec). Maar inderdaad management interface aan internet hangen is echt geen goede optie.
Beheerinterface alleen scopen op het IP waar je vandaan komt, management interface dus van het internet zélf halen, of alleen intern beheren en dan inderdaad een VPN gebruiken. Of twee VPN's gebruiken; als er één uitvalt heb je de ander nog.

Maw. jij als beheerder hebt een WAN-IP adres of een blok WAN IP's; dan stel je voor al je klanten in dat je alleen beheer mag doen vanaf dát WAN-IP-adres. Daarmee sluit je in elk geval de 'wereldwijde toegang' uit.

Ben je zelf onderweg? Dan pak je een VPN. Heb je geen VPN, dan kun je overwegen om een managementserver over te nemen op één of andere manier (maar geen Anydesk of Teamviewer natuurlijk..) en daar vandaan te gaan managen.

[Reactie gewijzigd door DigitalExorcist op 22 oktober 2026 16:48]

Fortinet bied wel meer producten aan dan alleen firewalls. Wel is het jammer dat Fortinet de laatste jaren niet altijd het beste in het nieuws is geweest.
Bij de Rabobank-vestigingen stond in de beginjaren maar 1 pc die gekoppeld was aan het publieke internet. Alle andere pc's waren uitsluitend aan het interne netwerk gekoppeld.
Ja en als dan die ene pc die gekoppeld aan het internet ook op het interne netwerk zit, heb je er bijzonder weinig aan
Behalve dat er dan maar een medewerker is die getarget kan worden door phishing van de IT dienst.
Misschien moeten mensen die onzin uitkramen eerst eens nadenken.
het klinkt heel stom, maar er zijn ook echt wel voordelen. ipv 1000 managers een email sturen dat ze de temperatuur 1 graad moeten aanpassen omdat dit de nieuwe standaard is. Kan je vergif op innemen dat een paar zijn die het vergeten.

Maar ook monitoring. Ze kunnen zien wat de temperatuur en luchtvochtigheid doen. Als er iets stuk is kunnen ze direct een monteur met een vervangend onderdeel op pad sturen. en hoeven de temperatuur niet meer handmatig in de gaten te houden.

Ik weet in de horeca wordt meerdere keren per dag de temperatuur gecontroleerd om de voedselveiligheid te garanderen...
Zo'n apparaat direct internet toegankelijk maken is altijd een slecht idee. Beheer op afstand en monitoring doen ze dan maar door een VPN tunnel.
Maar wie zegt niet dat ze via de vpn tunnel binnen zijn gekomen. Of op de pc waar ze de bestelling mee doen en vanuit daar doorgehopt hebben via het lan.

maar in het geval van de Franse supermarkt koelkasten hadden ze volgens mij de centrale management omgeving gehackt. Vanuit daar konden ze al die koelkasten bereiken…
het klinkt heel stom
Je bedoelt zoals de koelkasten van Danfoss? Ja, dat klinkt heel stom was vorige week in Frankrijk wel een groot succes, hè?

/sarcasme

[Reactie gewijzigd door tERRiON op 22 oktober 2026 18:34]

misschien moeten mensen die nog steeds fortinet producten gebruiken zich eens achter de oren krabben, het staat met stip op 1 als meest lekke hardware firewall.

Ik ben eerder voorstander van internet 2.0. Iedereen die aangesloten wordt identificeren, 1 keer hacken, toegang voor eeuwig intrekken. Dit zou ook de trust tussen aangeloten bedrijven weer een beetje kunnen verbeteren en zorgt voor een complete collapse van spam en fishing. Maar op de een of andere manier wil niemand eraan omdat je dan niet meer anoniem je gal kan spuwen op de socials.
Mag ik dan ook even je wifi wachtwoord gebruiken? En hoe doen we dat met openbaar wifi. En VPN ?
Dus omdat fortinet zelf kwetsbaarheden vind en oplost moet iedereen maar stoppen met fortinet gebruiken?

En hoe ga jij er voor zorgen dat iedereen die gebruik maakt van dat internet 2.0 dan niet daarop gekomen is door te hacken? En hoe ga je dan iedereen identificeren? Moet dat ook per device? Zo niet, hoe dan wel? En wie gaat die identificatie dan doen? En hoe weet jij zeker dat die identificatie ook goed is gebeurd en de persoon die je identificeerd ook degene is die hij zegt dat hij is? Wie slaat al die ID data dan op? Wie zorgt ervoor dat dat veilig gebeurd? Hoe identificeer je in NL iemand in de USA en andersom?

Dat internet 2.0 waarbij je iedereen identificeerd is net zo lek of veilig als elke private of internet netwerk nu.
Is dat omdat het een slecht product is of omdat ze heel actief zoeken naar issues
Ik begrijp de gedachte achter dit voorstel en ben het ermee eens dat cybercriminaliteit, spam en phishing veel harder aangepakt moeten worden.

Toch vind ik verplichte identificatie voor iedereen en een levenslange uitsluiting van het internet een bijzonder gevaarlijke ontwikkeling.

Kijk bijvoorbeeld naar China en Rusland, waar internetcontrole en toezicht ook worden gebruikt om burgers te censureren en kritische geluiden te onderdrukken.

Wie gaat bepalen wanneer iemand voorgoed van het internet wordt afgesloten? En wat gebeurt er bij identiteitsfraude, een gehackt account of een onterechte beschuldiging?

Bovendien is anonimiteit niet uitsluitend bedoeld voor mensen die hun gal willen spuwen op sociale media. Het beschermt ook journalisten, klokkenluiders en burgers die zich kritisch willen uitlaten zonder bang te hoeven zijn voor gevolgen.

We moeten cybercriminaliteit bestrijden, absoluut. Maar daarvoor hoeven we niet de privacy en digitale vrijheid van iedere internetgebruiker op te offeren.
Jouw middel is erger dan de kwaal.
Meeste van dit soort zaken zijn prima te voorkomen door je management interface alleen vanaf trusted interfaces/ip's toe te staan.
Maarja voor veel mensen wel zo makkelijk om het aan het internet te hangen zodat een remote partij het kan 'beheren'
En dan kan iedereen dit iedere keer weer roepen maar veel mensen passen dit nooit aan / lezen dit advies niet. (installeren de updates toch al nooit)
Slecht/onvolledig advies. Als je dus een lek in het netwerk hebt kan een kwaadwillende dus je firewall misbruiken om lateraal door de organisatie heen te bewegen. Zo ga je van een geïsoleerd security probleem op een workstation en één netwerk segment naar een security incident waar meerdere netwerk segmenten en aangesloten devices kwetsbaar zijn voor aanval.

Naast dat je je management interface moet afschermen moet je ook gewoon als de wiedeweerga patchen zodra er updates uitkomen.
NEE! (Sorry dat ik schreeuw) Veel van de exploits zijn juist succesvolle pogingen om beveiliging van de management interface in software te omzeilen. Hang die management interface aan een eigen switch en hou dat zo ver mogelijk bij alles en iedereen vandaan. Kabeltje erin als je aanpassingen moet doen, kabeltje er weer uit als je klaar bent. (Of doe moeilijk en bouw je eigen Out Of Band Management netwerk..)
Goh en we waren geloof ik net een maand of 3 zonder nieuwe zware Fortinet veiligheids problemen. Daarvoor was het iedere paar weken prijs. Toch wel apart dat een bedrijf wat security verkoopt steeds hierdoor geteisterd wordt. Hun reputatie bevlekt wel snel op deze manier.
Ik hoef het voorlopig niet in mn netwerk.
Ah top. Dus je gebruikt ook geen Microsoft? Of eigenlijk elk andere leverancier... Checkpoint, Palo, Cisco, ubiquity hebben allemaal kwetsbaarheden.

Doe ook eens onderzoek hoe deze kwetsbaarheden worden gevonden. Ja fortinet komt met kwetsbaarheden. 80% worden door hunzelf gevonden en transparant over gepubliceerd in tegenstelling tot andere leveranciers... Kuch.. Checkpoint...
Wat heeft dit met MS te maken? Maken die firewalls tegenwoordig? En ja andere fabrikanten hebben ook hun problemen, maar Fortinet heeft er extreem veel de laatste tijd.
Een lijstje van 2026:

13 jan. 2026 : CVE-2025-25249 - RCE via CAPWAP deamon
27 jan. 2026: CVE-2026-24858 - Kritieke authenticatie-/toegangscontrolekwetsbaarheid
10 feb. 2026: CVE-2026-22153 - LDAP verificatie te omzeilen
13 mrt. 2026: CVE-2026-22627- LDDP probleem waardoor ongeautoriseerde code kan uitgevoerd worden.
14 apr. 2026: CVE-2026-22828 - Heap-based buffer overflow
9 jun. 2026: CVE-2026-25089 - OS-command injection via JSON-input
12 Mei 2026: CVE-2025-53844 - Out-of-bounds write in de CAPWAP-daemon

En dan nog Fortibleed in juni wat weer verband had met die van 27 januari.

Dit zijn allemaal zeer kritieke lekken.
Die claimen ook een Cyber Security company te zijn. Die hebben Defender met allemaal kwetsbaarheden, GSA en premium native firewall (cloud firewall).. Dus ja doen ze wel degelijk.

Het gaat mij erom dat Fortinet vaak wordt gebashed.. Maar ondertussen hebben andere leveranciers ook allerlei kwetsbaarheden en dat is dan "normaal"
Ik snap wat je zegt. Fortinet kwam echter wel negatief in het (vak)nieuws hierdoor. En het zijn, hoe je het ook draait of keert, serieuze lekken in een aantal dat, op dat moment, niet in die aantallen bij andere hardware FW merken voorkwam. Fortibleed was zelfs wereldnieuws en dat heeft gevolgen voor de aangenomen betrouwbaarheid vanuit klanten hun visie. Lijkt me niet echt een vreemd gevolg.
Aan de andere kant is Fortinet open over de kwetsbaarheden die gevonden worden en nemen ze er actie op. Ken ook genoeg bedrijven die alle kwetsbaarheden proberen af te doen als "We hebben onze software geoptimaliseerd en veiliger gemaakt".

Kijk bevoorbeeld naar de melding van eMudhra na hun Diginotar niveau blunder met "4" als private key: https://emudhra.com/en/

No certificates were issued... Als iederen je private key weet, weet je niet meer of er certificaten mee uitgegeven zijn he?
Microsoft komt gelukkig nooit in het nieuws.
.NET is zo lek als een mandje kan ik ook roepen, veel meer cve's dan Fortinet.

Pak ik alleen al .net 10.0.13 van 13 oktober :

CVE-2026-66822 | .NET and Visual Studio Information Disclosure Vulnerability
CVE-2026-58280 | .NET and Visual Studio Denial of Service Vulnerability
CVE-2026-69651 | .NET and Visual Studio Denial of Service Vulnerability
CVE-2026-96958 | .NET and Visual Studio Denial of Service Vulnerability
CVE-2026-96960 | .NET and Visual Studio Denial of Service Vulnerability
CVE-2026-96959 | .NET and Visual Studio Denial of Service Vulnerability
CVE-2026-84008 | .NET Denial of Service Vulnerability
CVE-2026-70174 | .NET and Visual Studio Remote Code Execution Vulnerability
CVE-2026-87697 | .NET and Visual Studio Remote Code Execution Vulnerability
CVE-2026-70035 | .NET and Visual Studio Remote Code Execution Vulnerability
CVE-2026-83520 | .NET and Visual Studio Remote Code Execution Vulnerability
CVE-2026-96229 | .NET and Visual Studio Information Disclosure Vulnerability
CVE-2026-96232 | .NET and Visual Studio Information Disclosure Vulnerability
CVE-2026-96234 | .NET and Visual Studio Information Disclosure Vulnerability
CVE-2026-70007 | .NET and Visual Studio Remote Code Execution Vulnerability
CVE-2026-96224 | .NET and Visual Studio Remote Code Execution Vulnerability
CVE-2026-96235 | .NET and Visual Studio Remote Code Execution Vulnerability
CVE-2026-85363 | .NET and Visual Studio Remote Code Execution Vulnerability
CVE-2026-96233 | .NET and Visual Studio Denial of Service Vulnerability
CVE-2026-70175 | ASP.NET Core Elevation of Privilege Vulnerability
CVE-2026-70196 | ASP.NET Core Denial of Service Vulnerability
CVE-2026-70179 | ASP.NET Core Elevation of Privilege Vulnerability
CVE-2026-70181 | ASP.NET Core Denial of Service Vulnerability
CVE-2026-70161 | .NET SDK Elevation of Privilege Vulnerability
CVE-2026-70165 | .NET SDK Elevation of Privilege Vulnerability
CVE-2026-70190 | .NET SDK Elevation of Privilege Vulnerability
CVE-2026-96238 | .NET SDK Security Feature Bypass Vulnerability
CVE-2026-96237 | .NET SDK Remote Code Execution Vulnerability
CVE-2026-70159 | ASP.NET Core Denial of Service Vulnerability
CVE-2026-70186 | ASP.NET Core Denial of Service Vulnerability
CVE-2026-105016 | Microsoft QUIC Remote Code Execution Vulnerability
CVE-2026-85790 | .NET Information Disclosure Vulnerability
CVE-2026-70162 | .NET Denial of Service Vulnerability
CVE-2026-70183 | ASP.NET Core Security Feature Bypass Vulnerability
CVE-2026-88092 | ASP.NET Core Security Feature Bypass Vulnerability
CVE-2026-70188 | ASP.NET Core Security Feature Bypass Vulnerability
CVE-2026-96957 | .NET SDK Security Feature Bypass Vulnerability
CVE-2026-96230 | ASP.NET Core Remote Code Execution Vulnerability
CVE-2026-92707 | ASP.NET Core Denial of Service Vulnerability
CVE-2026-96231 | .NET and Visual Studio Elevation of Privilege Vulnerability
CVE-2026-96225 | .NET and Visual Studio Elevation of Privilege Vulnerability
CVE-2026-70197 | .NET and Visual Studio Remote Code Execution Vulnerability
CVE-2026-96236 | ASP.NET Core Denial of Service Vulnerability
CVE-2026-102870 | ASP.NET Core Remote Code Execution Vulnerability

En andere maanden iets minder eg :

https://github.com/dotnet...release-notes/10.0/cve.md
We hebben het hier over hardware firewalls.
FortiBleed groot in het nieuws.. Had je gewoon goede cyber hygiëne, niets aan het handje. Sterker nog.. Het was geen nieuwe kwetsbaarheid maar oude ongepatchte firewalls......
Ja slimmerik, en waarom denk je er er zoveel CVE's zijn voor Fortinet firewalls? Omdat ze marktleider zijn en 40% van de NGFW markt in handen hebben. Er worden zoveel kwetsbaarheden gevonden omdat het enorm loont om kwetsbaarheden te vinden, en daarom zijn er zo veel mensen naar op zoek.
Onzin, ze hebben wereldwijd onder de 25% in handen en Palo is groter.

Cybersecurity market share: who leads each category, with revenue receipts

Link bewerkt

[Reactie gewijzigd door B34tn1k op 22 oktober 2026 14:31]

Dacht dat het aan mij lag.
Yep, you're not the only one.
Huh fortnite? Een veelvoorkomende uitspraak door gemiddelde medewerkers van 40+ die geen ervaring in IT hebben. Kan er altijd smakelijk om lachen.
Even de knuppel in het hoenderhok:

Stelling: Het plaatsen van firewall en andere devices tussen internet en het device wat benaderd moet worden is in een wereld van AI onveiliger dan een goed gepatched device rechtstreeks aan internet hangen.

Uitleg: Door introduceren van andere devices tussen twee endpoints wordt het aantal aanvalsvectoren en kans op vulnerabilities exponentieel vergroot. Met daarbij een exponentiële kans dat er een zeroday tussen zit.

Voorbeeld: Je hebt een webserver die draait PHP versie en een Nginx versie die vulnerable is. Je Linux firewall is volledig safe. Je hebt ervoor echter een reverse proxy draaien, een firewall, een load balancer. Allemaal verschillende producten. Allemaal een andere patch moment. Maar je moet we de hele keten updaten. Dan kan je wel beginnen met je applicatie server, maar misschien is je reverse proxy en firewall al gecompromitteerd, waardoor ze al in je netwerk zitten. Gooi je ze uit de 1 is het wachten tot ze toch weer dieper naar binnen gaan. Het water blijft stromen, dan weer links, dan weer rechts. je krijgt het nooit echt droog, of je moet alles offline gooien. Maar had je maar 1 systeem. Dan is het een kwestie van je deployment van patches voorzien, dit deployen naar een nieuwe applicatieserver, en je bent schoon en weer “veilig”. Minder werk sneller en veiliger.

Nou schiet maar!
Fortinet is niet meer wat t was. ik gebruik fortinets al vanaf 2007. ik heb alle os versies wel gezien maar hun drang om op 1 te komen in de security markt heeft er voor gezorgd dat ze een te divers product portofolio hebben gekregen. met de meeste gekke hardware zoals een fortiphone.

Hun security product fortigates zijn ook onbeheersbaar geworden met 30.000 features wat niet meer logisch aanvoelt of logisch klinkt. ik ga 40 tot 50 grote fortigates in t veld staan en ben de laatste aan het uitfaseren. hun belachelijk dure support contracten en abo's voor de antivirus is gewoon vervangen voor andere producten die hetzelfde werk doen en voor veel minder geld.

Fortinet is t kwijt.... dat heeft ze vanaf mijn hoek al tonnen aan omzet gekost. succes is een keuze. En de security updates allemaal leuk, maar t is gewoon zo lek als een mandje blijkt weer uit deze update.

Om te kunnen reageren moet je ingelogd zijn