Fortinet a corrigé CVE-2026-121529, surnommée « Fortinet2Shell », une vulnérabilité critique (CVSS 9,1) dans FortiClient pour Windows, Mac et Windows PAM, qui peut permettre à un attaquant distant d’exécuter du code sur l’ordinateur si l’utilisateur interagit, par exemple en visitant un site piégé. Pour les entreprises, le problème tient moins à la gravité qu’à l’échelle : le correctif doit être installé sur chaque portable où le client est présent.
Les points clés de Fortinet2Shell pour les entreprises en 20 secondes
- Elle touche FortiClient 7.4.0 à 7.4.7 et, sous Windows, 7.2.0 à 7.2.14.
- Elle est corrigée dans les versions 7.4.8 et 7.2.15 ; il n’existe pas de correctif virtuel sur les pare-feu.
- Fortinet n’a pas connaissance d’une exploitation active.
L’avis officiel de Fortinet (FG-IR-26-194), publié le 10 novembre 2026, attribue la faille à une erreur de validation de l’origine sur un endpoint de l’API locale de FortiClient. Les détails techniques, le tableau complet des versions et la façon de repérer les postes exposés figurent dans l’analyse d’OpenSecurity sur Fortinet2Shell. Elle a été découverte par Kevin Joensen, de Baldur Security, qui l’a signalée à Fortinet de manière responsable.
Une faille sur le poste de travail, pas sur le périmètre
Les avis de Fortinet qui ont fait le plus de titres ces dernières années concernaient des équipements de périmètre, comme FortiGate ou FortiWeb, qui se mettent à jour en un point central. Celui-ci est différent : FortiClient est le client de VPN et de protection installé sur les portables des salariés, et le vecteur d’attaque passe par le navigateur de l’utilisateur. Fortinet indique expressément qu’il n’existe pas de correctif virtuel, c’est-à-dire qu’une signature sur le pare-feu ne permet pas de la bloquer en attendant, et ne publie pas non plus de mesure de contournement.
Cela reporte la responsabilité sur la gestion du parc. Les organisations qui distribuent FortiClient depuis FortiClient EMS ou avec des outils de gestion d’appareils peuvent pousser la version corrigée de façon centralisée, mais il convient de vérifier ensuite quels postes l’ont réellement installée, y compris ceux qui passent des semaines sans se connecter au réseau d’entreprise. Les portables des dirigeants et des administrateurs, plus privilégiés, devraient passer en premier.
Risque réel et calendrier
L’exigence d’interaction réduit le risque par rapport à une faille exploitable sans intervention, mais pas beaucoup : ouvrir un lien dans un e-mail ou visiter un site compromis fait partie de la routine quotidienne de tout salarié. Fortinet classe la vulnérabilité comme non exploitée à ce jour et aucune preuve de concept publique n’est connue. L’expérience avec d’autres produits de la marque, dont plusieurs ont fini dans le catalogue des vulnérabilités exploitées de la CISA, incite à ne pas attendre que cela change. Pendant le déploiement, rappeler aux utilisateurs de ne pas ouvrir de liens inconnus et revoir le filtrage web sont des mesures raisonnables, mais elles ne remplacent pas le correctif.
Questions fréquentes
Quelles versions de FortiClient Fortinet2Shell touche-t-elle ?
FortiClient Windows, Mac et Windows PAM 7.4.0 à 7.4.7, et Windows et Windows PAM 7.2.0 à 7.2.14.
Peut-on la bloquer depuis le pare-feu ?
Non. Fortinet indique qu’il n’y a pas de correctif virtuel ; il faut mettre à jour le client en 7.4.8 ou 7.2.15 sur chaque poste.
Est-elle exploitée ?
Selon Fortinet, aucune exploitation active n’est connue au moment de la publication de l’avis.
Sources :
