Çoğu kurumda FortiGate’in yönlendirme tablosuna her gün bakan olmaz. OSPF komşuluğu bir kez kurulur, rotalar akmaya başlar ve ağ ekibi başka işe döner. Fortinet’in 10 Kasım 2026’da yayımladığı aylık güvenlik bülteninde kritik bir zafiyet tam bu sessiz katmanı ilgilendiriyor: FG-IR-26-267, yani CVE-2026-126253. CVSS 3.1 puanı 9,3.
Zafiyet ne yapıyor
Sorun FortiOS ve FortiSASE’in OSPF sürecinde. Fortinet’in tanımına göre kimlik doğrulaması yapılmamış bir saldırgan, özel hazırlanmış bir istekle cihaza LSA yayınlatabilir. LSA, OSPF yönlendiricilerinin ağ topolojisini birbirine duyurduğu pakettir. Komşu yönlendiriciler bu duyurulara güvenir ve rotalarını onlara göre hesaplar.
Sahte bir LSA’nın sonucunu tahmin etmek zor sayılmaz. Bir alt ağa giden trafik saldırganın istediği yöne çekilebilir ya da hiçbir yere çıkmayan bir rotaya düşüp kaybolabilir. Hasar tek cihazda da kalmaz, çünkü duyuru OSPF alanındaki diğer yönlendiricilere yayılır. Kampüs omurgasında, şube ile merkez arasında ya da SD-WAN üzerinde rotalarını OSPF ile dağıtan yapılarda bu, birkaç lokasyonun aynı anda etkilenmesi anlamına gelir.
CVSS vektörü iki konuyu netleştiriyor. Saldırı yolu bitişik ağ olarak işaretli. Saldırganın OSPF konuşan bir arayüze ağ üzerinden yakın olması gerekir. Etki tarafında gizlilik puanı sıfır, bütünlük ve erişilebilirlik ise yüksek. Bu zafiyetle veri çalınmaz, trafik bozulur. Red Tiger Security’nin özetine göre yalnızca OSPF’in açık olduğu cihazlar etkileniyor.
Zafiyeti Fortinet’in kendi ürün güvenliği ekibi bulmuş. Bülten yayımlandığında zafiyetin istismar edildiği bilinmiyordu. Öte yandan bültende bir geçici çözüm ya da sanal yama (virtual patch) yer almıyor. Kalıcı çözüm yükseltmek.
Hangi sürümler etkileniyor
FortiOS tarafında etkilenen ve düzeltilmiş sürümler şöyle:
- 8.0.0 ile 8.0.1 arası: 8.0.2 ya da üstüne yükseltin.
- 7.6.0 ile 7.6.7 arası: 7.6.8 ya da üstüne yükseltin.
- 7.4.0 ile 7.4.12 arası: 7.4.13 ya da üstüne yükseltin.
- 7.2.0 ile 7.2.13 arası: 7.2.14 ya da üstüne yükseltin.
- 7.0.1 ile 7.0.19 arası: bu dalda düzeltme yok, düzeltilmiş bir sürüme geçmek gerekir.
7.0 kullananlar için iş biraz daha uzun. Fortinet yükseltme yolunu çıkarmak için kendi yükseltme aracını gösteriyor. Ara sürümleri cihaz modeline göre bu araçla belirleyin ve geçişi bakım penceresine yayın.
FortiSASE’te 26.3.1 ve 26.3.1_a etkilenmiş, düzeltme 26.3.2’de gelmiş ve müşterinin bir şey yapmasına gerek yok. 25.1 ile 26.2 arasındaki sürümler için düzeltilmiş bir sürüme geçiş isteniyor. 24.4 ve öncesi etkilenmiyor.
Yükseltmeye kadar OSPF’i daraltın
Bu adımlar yamanın yerini tutmaz. Yine de saldırganın OSPF’e ulaşabileceği yerleri azaltır ve zaten olması gereken ayarlardır.
İlk adım passive interface. Pasif yapılan arayüzden OSPF hello paketi gitmez ve o arayüzde komşuluk kurulmaz. Arayüzün alt ağı ise diğer arayüzlerden duyurulmaya devam eder. Kullanıcı VLAN’ları, misafir ağı, sunucu segmentleri gibi karşısında komşu bir yönlendirici beklemediğiniz her arayüz pasif olmalı. Fortinet’in topluluk notundaki örnek OSPFv3 üzerinden anlatılıyor. Ayardan sonra arayüz “No Hellos (Passive interface)” olarak görünür, öğrenilen rotalar da aynı kalır.
İkinci adım kimlik doğrulama. FortiOS 7.0.1’den beri OSPF’te RFC 5709’a dayanan HMAC-SHA kimlik doğrulamasını destekler. Daha eski sürümlerde yalnızca MD5 vardı. Seçenekler md5, hmac-sha1, hmac-sha256, hmac-sha384 ve hmac-sha512. Ayar yalnızca komut satırından yapılır. Önce bir key chain tanımlanır, her anahtar için accept ve send ömürleri zorunludur, bunlar girilmezse ayar reddedilir. Sonra OSPF arayüzünde message-digest kimlik doğrulaması açılır ve key chain arayüze bağlanır. Farklı ömürlü birden fazla anahtar tanımlayıp anahtarları kesintisiz değiştirebilirsiniz.
Doğrulama için komşuluğun Full durumunda olduğuna bakın. İsterseniz protokol 89’u yakalayıp Wireshark’ta açın. Kimlik doğrulama alanının uzunluğu algoritmayı gösterir, SHA-256 için bu 32 bayttır. Unutmayın, zafiyetin adı zaten kimlik doğrulama atlatma. Anahtarlar tek başına bu açığı kapatmaz, sadece meşru komşuların kim olduğunu netleştirir.
Rota değişikliklerini izleyin
Sahte bir LSA’nın ilk belirtisi genellikle beklenmeyen bir rotadır. OSPF komşu listesinin ve rota tablosunun bugünkü halini kaydedin, böylece sonra karşılaştıracak bir referansınız olur. Komşu sayısı değiştiğinde ya da tanımadığınız bir yönlendirici kimliği belirdiğinde alarm üreten bir kural kurun. FortiGate loglarını merkezi bir sisteme gönderiyorsanız OSPF olaylarını da bu akışa ekleyin.
Aynı bültende FortiMail
10 Kasım bülteninde FortiMail için de kritik bir düzeltme var: FG-IR-26-199, yani CVE-2026-126147, CVSS puanı 9,8. Bir dizin geçişi (path traversal) zafiyeti, kimlik doğrulaması yapılmamış bir saldırganın özel hazırlanmış isteklerle yetkisiz kod ya da komut çalıştırmasına izin verebiliyor. Düzeltilmiş sürümler 8.0.2, 7.6.7 ve 7.4.9. 7.2 dalının tamamı etkileniyor ve düzeltilmiş bir sürüme geçiş gerekiyor. FortiMail Cloud tarafında düzeltme yapılmış. Fortinet bu zafiyetin de istismar edildiğini bilmiyor. E-posta ağ geçidi internete açık durduğu için bu yamayı da sıraya almadan geçirin.
Nereden başlamalı
- OSPF çalıştıran her FortiGate’i, sürümüyle ve OSPF açık arayüzleriyle birlikte listeleyin.
- Cihazları 8.0.2, 7.6.8, 7.4.13 ya da 7.2.14 ve üstüne yükseltin. 7.0’dakiler için yükseltme yolunu çıkarın.
- Komşu yönlendirici beklemediğiniz bütün arayüzleri pasif yapın.
- Komşuluklarda HMAC-SHA kimlik doğrulamasını açın ve anahtar ömürlerini takvime bağlayın.
- OSPF komşu listesinin ve rota tablosunun referans kaydını alın, değişiklikleri izleyin.
- FortiMail kullanıyorsanız aynı bakım penceresinde onu da yükseltin.
Mesagon’da firewall platformlarını, segmentasyonu ve kurumsal e-posta güvenliğini kurup işletiyor, cihazların bakımını ve yaşam döngüsü planlamasını da üstleniyoruz.
Kaynaklar
- FG-IR-26-267: Authentication bypass by primary weakness (CVE-2026-126253) · Fortinet PSIRT (FortiGuard), 2026
- FG-IR-26-199: Improper limitation of a pathname to a restricted directory (CVE-2026-126147) · Fortinet PSIRT (FortiGuard), 2026
- PSIRT Advisories · Fortinet FortiGuard, 2026
- Technical Tip: Configuring and Verifying OSPF HMAC-SHA · Fortinet Community, 2024
- Technical Tip: Configuring and verifying the passive interface · Fortinet Community, 2020
- Fortinet November 2026 PSIRT: Critical FortiOS Routing Flaw and FortiManager Console Fixes · Red Tiger Security, 2026
Bu yazı genel bilgilendirme içindir; hukuki ya da mali tavsiye değildir. Bir mühendisle konuşun.
