FortiBleed 攻击未止：FBI 警告 FortiGate 管理员账号被锁死
FBI 与美国特勤局 10 月 6 日联合警告，FortiBleed 凭证窃取行动仍在持续。攻击者用泄露口令登录暴露的 FortiGate 与 SSL VPN 网关，新建管理员账号并删除原有账号，把企业锁在自己设备之外，全程无 CVE 可利用。
Fortinet
CVE-2026-104286：FortiMail 路径遍历零日遭在野利用，未认证可写任意文件
Fortinet 10 月 1 日披露 FortiMail 管理界面路径遍历与 NULL 字节中和缺陷 CVE-2026-104286，未认证攻击者可通过构造 HTTP 请求写入任意文件并执行代码，CVSS 9.8，已在野利用并进入 CISA KEV。
Fortinet 九月批量修复 10 个漏洞：FortiMonitor 认证绕过 CVSS 9.6，ZTNA 门户可遭中间人攻击
Fortinet 修复 10 个漏洞，FortiMonitorOnSight JWT 认证绕过评级 9.6，FortiPAM Chrome 扩展可被劫持为流量代理，FortiSandbox 存在 9.9 分访问控制缺陷。
CVE-2026-26035：FortiWeb 远程 RADIUS 通配符致未认证登录，FortiManager/FortiClient 同步曝高危缺陷
Fortinet 8 月 12-13 日集中修复 FortiWeb、FortiManager、FortiClient 多枚高危漏洞。CVE-2026-26035 在启用 Remote RADIUS 通配符时允许未认证攻击者以任意密码登录 WAF 管理后台。
CISA将Fortinet FortiSandbox漏洞纳入KEV目录：命令注入可致未授权远程代码执行
CISA将Fortinet FortiSandbox两个OS命令注入漏洞纳入已知被利用漏洞目录，攻击者可通过构造HTTP请求在未认证条件下执行任意命令，联邦机构须在7月19日前完成修复。