Mise à jour FortiGate (octobre 2026) : quelle version installer et que faire en attendant

Fortinet a publié en octobre 2026 des mises à jour de sécurité pour FortiOS, FortiManager, FortiAnalyzer, FortiMail et FortiAuthenticator. Si vous avez un FortiGate, le boîtier pare-feu placé entre vos bureaux et internet, installez la version corrigée de sa branche (FortiOS 8.0.2, 7.6.8, 7.4.13 ou 7.2.14), en commençant par les équipements exposés à internet. En attendant, limitez l'accès à leurs interfaces d'administration et surveillez leurs journaux.

Ce que l'on sait, ce que l'on ne sait pas

Le 21 octobre 2026, Carl Windsor, responsable de la sécurité de Fortinet, a annoncé sur le blog de l'éditeur une « security hardening release » : des mises à jour qui corrigent des vulnérabilités de gravité critique et élevée, trouvées notamment grâce à des tests de sécurité assistés par l'IA. FortiMail et FortiAuthenticator ont été mis à jour le 21 octobre ; FortiOS, FortiManager et FortiAnalyzer le 22 octobre. FortiSASE est mis à jour automatiquement.

Ce que l'on ne sait pas encore : Fortinet ne publie aucun identifiant CVE, aucun score CVSS et aucun détail par faille. Ses avis publics sont annoncés par Fortinet pour le 10 novembre 2026 sur sa page PSIRT. L'éditeur ne précise pas quel produit porte les correctifs critiques, et aucune exploitation n'a été annoncée. Fortinet demande pourtant de traiter cette publication comme un changement prioritaire : une fois un correctif public, la comparaison avec l'ancienne version peut aider un attaquant à trouver la faille.

Quelle version installer

Installez la version corrigée de votre branche actuelle, d'après le tableau publié par Fortinet le 21 octobre :

Dans quel ordre mettre à jour

1. Faites l'inventaire de vos FortiGate, FortiManager et autres équipements Fortinet, et commencez par ceux qui sont exposés à internet.
2. Sauvegardez la configuration de chaque équipement avant la mise à jour.
3. Suivez le chemin de mise à jour officiel avec l'outil Upgrade Path de Fortinet. N'improvisez pas un saut de branche majeure, par exemple de 7.4 vers 8.0.
4. Prévoyez une fenêtre de maintenance : la mise à jour du pare-feu coupe le réseau pendant le redémarrage. Planifiez-la avec votre équipe informatique ou votre prestataire.

FortiOS 7.0 ou 6.4 : que faire

Les branches 7.0 et 6.4 n'apparaissent pas dans le tableau d'octobre. Pour une autre faille, CVE-2025-61624, Fortinet demande déjà de migrer ces branches vers une version corrigée. Si vos équipements sont encore en 7.0 ou 6.4, planifiez leur migration vers une branche présente dans le tableau, en suivant le chemin officiel.

Si vous ne pouvez pas mettre à jour aujourd'hui

Fortinet recommande des mesures temporaires. Elles réduisent le risque mais ne remplacent pas la mise à jour :

• limiter les interfaces d'administration (HTTPS, SSH) à des adresses IP de confiance, ou les désactiver sur les interfaces exposées à internet ;
• administrer les équipements hors bande, c'est-à-dire par un réseau d'administration séparé ;
• placer les ressources derrière un VPN ou une solution SASE quand c'est possible ;
• appliquer des correctifs virtuels (virtual patching) en attendant la mise à jour ;
• ne pas rendre l'administration de FortiManager joignable depuis internet ;
• utiliser des identifiants forts et uniques, et la MFA pour tous les comptes administrateurs ;
• surveiller les journaux : accès administrateur inhabituels, changements de configuration non approuvés.

Après la mise à jour : vérifier qu'il n'y a pas eu d'intrus

Une mise à jour corrige la faille, mais ne supprime pas un accès déjà installé par un attaquant : « à jour » ne veut pas dire « sain ». Après l'opération, passez en revue les connexions administrateur, les modifications de configuration et la liste des comptes administrateurs.

Ce rappel compte d'autant plus qu'une autre faille est exploitée : CVE-2025-61624 (avis FG-IR-26-122), une traversée de répertoire dans la ligne de commande de FortiOS, FortiProxy, FortiPAM et FortiSwitchManager, utilisable par un administrateur authentifié. Fortinet la classe de gravité moyenne (CVSS 6,0 ; NVD : 6,5) et la signale exploitée ; la CISA l'a ajoutée à son catalogue des vulnérabilités exploitées le 16 octobre 2026. Elle est corrigée à partir de FortiOS 7.6.5 et 7.4.10 ; pour 7.2, 7.0 et 6.4, Fortinet demande de migrer vers une version corrigée. Si vous constatez une activité anormale, conservez les journaux et faites appel à une équipe de réponse à incident.

Mon FortiGate est-il touché par la faille PHP ?

Non. Dans son avis FG-IR-26-186 (mis à jour le 23 octobre 2026) sur les failles PHP surnommées « PHP2Shell », Fortinet indique que FortiOS, FortiGate Cloud, FortiManager, FortiAnalyzer, FortiWeb, FortiMail et FortiAuthenticator ne sont pas concernés. FortiDDoS, FortiDDoS-F, FortiClient Cloud Services et FortiSOAR sont encore à l'étude. Vos sites web en PHP, eux, peuvent l'être : voir faille PHP : que faire.

Prochaine étape : le 10 novembre

Fortinet a annoncé ses avis PSIRT pour le 10 novembre 2026, avec les identifiants CVE, les scores et le détail des failles corrigées. Nous mettrons cet article à jour dès leur publication. D'ici là, la consigne ne change pas : installez les versions corrigées et appliquez les mesures d'attente.

Pour vérifier la configuration et l'exposition de vos pare-feu, un audit de pare-feu contrôle les règles, les interfaces d'administration et les versions installées.

Questions fréquentes

Sources

• Fortinet, « Fortinet Releases Security Hardening Release for Multiple Products », Carl Windsor (21 oct. 2026).
• Fortinet, outil Upgrade Path.
• Fortinet PSIRT, FG-IR-26-122 (CVE-2025-61624) et FG-IR-26-186 (PHP2Shell).
• NVD, CVE-2025-61624.
• CISA, catalogue KEV (ajout du 16 oct. 2026).

Sources consultées le 23 octobre 2026. Les identifiants CVE de la publication d'octobre seront ajoutés dès la parution des avis Fortinet.