Fortinet 呼籲即時修補 FortiOS 等漏洞
Fortinet 發布協調安全強化更新，緊急修補 FortiOS、FortiManager 及 FortiAnalyzer 的嚴重及高危漏洞，更新已於 10 月 22 日供應；FortiMail 及 FortiAuthenticator 的修補亦於 10 月 21 日推出。首席資訊安全總監 Carl Windsor 呼籲客戶優先處理對外暴露的設備，並強調今次不應視作例行維護。
- FortiOS 升級至 8.0.2、7.6.8、7.4.13 或 7.2.14（按所屬分支）
- FortiManager／FortiAnalyzer 最低修復：8.0.2、7.6.8、7.4.12、7.2.13
- 部分漏洞由前沿 AI 輔助測試發現
- CVE 編號及完整公告 11 月 10 日才發布，暫無活躍利用報告
- Fortinet 警告：攻擊者可用 AI 對比修補差異，數小時至數日內製作 exploit
- 無法即時升級應限制管理介面存取、移離公共互聯網並強制 MFA
補丁先到 公告後補
今次發布的最大特點，是修補先行、細節後補：CVE 編號及完整 PSIRT 公告要到 11 月 10 日才會公開。Fortinet 在 10 月 21 日的網誌中強調：「我們強烈敦促每位客戶計劃並及時完成這些升級，優先處理對外暴露的設備。」公司同時警告 patch diffing 風險：攻擊者可以利用 AI 比對已修補與舊版軟件，找出改動的代碼位置，在數小時至數日內製作出 exploit，過程可能搶在客戶完成升級之前。
受影響範圍方面：FortiOS 的 8.0.0 至 8.0.1、7.6.0 至 7.6.7、7.4.0 至 7.4.12、7.2.0 至 7.2.13 需分別升級至 8.0.2、7.6.8、7.4.13 或 7.2.14；FortiManager 與 FortiAnalyzer 的受影響分支為 8.0.0 至 8.0.1、7.6.0 至 7.6.7、7.4.0 至 7.4.11 及 7.2.0 至 7.2.12，最低修復版本為 8.0.2、7.6.8、7.4.12 或 7.2.13；FortiMail 修復版本為 8.0.2、7.6.7 及 7.4.9，受影響的 7.2 部署須轉移至 7.4 或更新分支；FortiAuthenticator 則為 8.0.4 及 6.6.11。FortiSASE 會在協調發布前自動更新，FortiManager Cloud 可能需要手動操作。
應急建議與業界爭議
Fortinet 建議管理員識別對外暴露的系統、備份裝置配置，並盡快安排 10 月 22 至 23 日的維護窗口；升級前後均須檢查日誌有否異常管理員存取及未經授權的配置變更。未能即時升級的環境，應將 HTTPS 及 SSH 管理介面限制為可信地址、把 FortiManager 管理介面移離公共互聯網，並強制管理員使用 MFA 及唯一密碼，但這些緩解措施不能取代安裝更新。
「補丁先到、細節後補」的做法亦引起業界討論。watchTowr 首席威脅情報專家 Yordan Ganchev 認為，三星期缺乏漏洞資訊會令攻擊者與研究員都有空間「獵捕」，預期這些漏洞會被迅速逆向工程、重現乃至在野利用，受影響機構應即時修補，並把對外暴露的管理介面離線或限制存取。對企業而言，無論採納哪種觀點，結論一致：對外暴露的 Fortinet 設備，越早升級越好。
資料來源：Fortinet 官方網誌
(開版為AI生成配圖，只供參考會意)
