FortiClient'ta kritik açık: site ziyareti kod yürütmeye yetiyor

Fortinet, 10 Kasım 2026'da yayımladığı FG-IR-26-194 kodlu güvenlik bildirimiyle, kurumsal uç nokta ve VPN istemcisi FortiClient'ta kritik seviyeli bir zafiyeti duyurdu. CVE-2026-121529 numaralı açık, Fortinet'in kendi değerlendirmesine göre CVSSv3 ölçeğinde 9.1 puanla "kritik" olarak sınıflandırıldı. Açığı sorumlu açıklama yoluyla bildiren Baldur Security'den Kevin Joensen, zafiyete "Fortinet2Shell" adını verdi.

Zafiyet nasıl çalışıyor?

Sorunun kaynağı, FortiClient'ın bilgisayarda arka planda çalıştırdığı yerel servisin kaynak doğrulamasını hatalı yapması. Hatalı bir CORS yapılandırması nedeniyle bu servis, tarayıcıdan gelen istekleri yeterince denetlemeden kabul edebiliyor. Sonuç olarak, saldırganın hazırladığı bir web sayfasını açan kullanıcının bilgisayarında kod çalıştırılabiliyor. Yani klasik bir sunucu saldırısı değil; kullanıcının sadece bir bağlantıya tıklaması yetiyor.

Fortinet'in bildirimine göre etkilenen sürümler şunlar:

• FortiClient Windows ve Mac 7.4: 7.4.0 – 7.4.7 sürümleri
• FortiClient Windows 7.2: 7.2.0 – 7.2.14 sürümleri
• FortiClient Windows PAM 7.4 ve 7.2: aynı sürüm aralıkları

Çözüm sürümleri 7.4 dalı için 7.4.8, 7.2 dalı için 7.2.15. FortiClient 8.0 sürümleri ve FortiClient Mac 7.2 etkilenmiyor. Fortinet, bildirim tarihi itibarıyla açığın istismar edildiğine dair bir bulgu paylaşmadı ve geçici bir önlem (workaround) tanımlamadı; tek çözüm güncelleme.

Neden önemli?

Çoğu kurumda güvenlik duvarının yazılımı düzenli güncellenir, ancak çalışanların dizüstü bilgisayarlarındaki VPN istemcisi aynı disiplinle takip edilmez. Oysa bu zafiyetin hedefi tam olarak orada: kurum ağının dışındaki, otelde veya evde internete çıkan uç noktada. Saldırı için kurumsal ağa sızmak gerekmiyor, kullanıcının tarayıcısı yeterli.

FortiClient, Türkiye'de FortiGate güvenlik duvarı kullanan kurumların standart uzaktan erişim aracı. İnşaat şantiyeleri, denizcilik ve acente ofisleri, lojistik firmaları ve saha ekipleri bu istemciyi günlük olarak kullanıyor. Bu cihazlar aynı zamanda kişisel veri işleyen sistemlere bağlandığı için, uç noktada kod yürütme imkânı KVKK kapsamındaki teknik tedbir yükümlülüğünü de doğrudan ilgilendiriyor.

Zafiyetin bir diğer özelliği, saldırının kullanıcı etkileşimi gerektirmesi: kurbanın ilgili sayfayı açması şart. Bu, riski tamamen ortadan kaldırmıyor; oltalama e-postası, sahte güncelleme bildirimi veya zararlı reklam üzerinden bir bağlantının açılması gündelik bir senaryo. Buna karşılık, yama uygulanmış cihazlarda sorun tümüyle kapanıyor.

Asıl zorluk genellikle teknik değil, envanter kaynaklı: pek çok KOBİ'de hangi bilgisayarda FortiClient'ın hangi sürümünün kurulu olduğu merkezi olarak bilinmiyor. Sürüm bilinmiyorsa yamanın uygulanıp uygulanmadığı da bilinemiyor.

Kamer Bilişim olarak ne öneriyoruz?

• Önce envanter çıkarın. FortiClient EMS kullanıyorsanız konsoldan sürüm raporu alın. Merkezi yönetim yoksa, etki alanı üzerinden veya basit bir envanter betiğiyle tüm dizüstü ve masaüstü bilgisayarlardaki FortiClient sürümünü listeleyin. 7.4.x ve 7.2.x kurulu cihazları ayrı bir listede toplayın.
• Güncellemeyi kullanıcıya bırakmayın. 7.4 dalındaki cihazları 7.4.8, 7.2 dalındakileri 7.2.15 sürümüne merkezi dağıtımla yükseltin. Uzun süredir sahada olan ve aylardır ofise uğramayan cihazlar için güncellemeyi VPN bağlantısı üzerinden planlayın; bu cihazlar genellikle en geride kalanlardır.
• Kullanılmayan bileşenleri kaldırın. PAM modülüne ihtiyacınız yoksa devre dışı bırakın, işten ayrılan personelin veya kullanım dışı cihazların üzerindeki istemciyi tamamen kaldırın. Uç noktalarda EDR/antivirüs kayıtlarını, beklenmedik süreç başlatma olayları açısından gözden geçirin.

Uzaktan erişim altyapınızda hangi sürümlerin çalıştığından emin değilseniz, İstanbul Anadolu Yakası'ndaki ofisinizde yerinde veya uzaktan envanter ve yama planlaması yapabiliriz. Detaylı bilgi için iletişim sayfamızdan bize ulaşabilirsiniz.

Kaynak: Fortinet PSIRT – FG-IR-26-194 güvenlik bildirimi (10 Kasım 2026)