5 Lästid 
Fortinet och Ivanti släppte på tisdagen säkerhetsuppdateringar som åtgärdar totalt 18 kritiska sårbarheter, däribland två allvarliga brister som möjliggör fjärrkörning av kod utan autentisering. Båda företagen uppger att det ännu inte finns några bevis för aktiv exploatering, men Ivanti varnar samtligt för att AI-modeller accelererar upptäckten av sårbarheter i en takt osm riskerar att göra traditionella patchcykler otillräckligt.
Tidpunkten är särskilt viktig eftersom Ivanti redan förra veckan avslöjade en separat sårbarhet för fjärrkörning av kod som angripare hade börjat exploatera i begränsade kampanjer innan någon säkerhetsuppdatering fanns tillgänglig.
Fortinet täpper till kritiska autentiseringsbrister
Fortinets två kritiska sårbarheter har båda CVSS-poäng på 9,1 och gör det möjligt för oautentiserade angripare att köra kod på distans. Enligt SecurityWeek påverkar CVE-2026-44277 åtkomstkontrollmekanismen FortiAuthenticators, medan CVE-2026-26083 drabbar FortiSandbox-plattformar genom bristande auktoriseringskontroller. Båda sårbarheterna kan utnyttjas genom specialutformade HTTP-förfrågningar mot sårbara system.
FortiAuthenticator fungerar som central autentiseringshub för RADIUS, LDAP och SAML över företagsnätverk enligt CSO Online. Ett lyckat angrepp på dessa system kan ge angripare administrativ åtkomst till hela autentiseringsinfrastrukturen. FortiSandbox används för att analysera potentiellt skadliga filer och är därför ett attraktivt mål för angripare som vill kartlägga en organisations säkerhetsförmåga.
Fortinet har även åtgärdat en sårbarhet med hög allvarlighetsgrad i FortiOS (CVE-2025-53844). Felet gäller en så kallas out-of-bounds-skrivning i CAPWAP-demonen, som används för att hantera trådlösa accesspunkter. För att utnyttja sårbarheten krävs att angriparen redan kontrollerar en accesspunkt, men det kan ändå leda till fjärrkörning av kod på FortiGate-enheter.
CVE-numren antyder att Fortinet identifierade dessa brister för flera månader sedan. Beteckningar med CVE-2026 indikerar sårbarheter registrerade för 2026, vilket tyder på att interna processer för analys och ansvarsfull publicering kan ta betydande tid.
AI-modeller hittar sårbarheter som traditionella verktyg missar
Ivantis säkerhetsuppdatering för maj omfattar sårbarheter i fyra produkter: Secure Access Client, Xtraction, Virtual Traffic Manager och Endpoint Manager. Den allvarligaste bristen, CVE-2026-8043 i Xtraction, tillåter autentiserade angripare att läsa känsliga serverfiler och skriva godtycklig HTML till webbkataloger, en kombination som möjliggör lagrad cross-site scripting eller webshell-distribution.
Men Ivantis avslöjande innehåller en betydande operationell detalj: företaget har integrerat flera stora språkmodeller i sitt produktsäkerhetsarbetsflöde och hittar sårbarheter som statiska och dynamiska analysverktyg rutinmässigt missar.
-Vi har redan framgångsrikt identifierat sårbarheter som traditionella verktyg missade, inklusive några av dem som avslöjas idag, skriver Ivanti i sin säkerhetsblogg.
Företaget förväntar sig ”en ökning av sårbarhetsavslöjanden” i takt med att AI-verktygen utvecklas och integreras djupare i utvecklingsprocesserna. Det är både positivt och oroväckande: å ena sidan innebär det mer omfattande säkerhetstestning, å andra sidan antyder det att dagens patchvolymer kan vara artificiellt låga eftersom traditionella verktyg helt enkelt inte upptäcker alla sårbarheter.
Exploateringstidslinjen komprimeras
Ivantis varning om AI-acceleration stöds också av färska exempel. Förra veckan offentliggjorde företaget CVE-2026-6973, en sårbarhet för fjärrkörning av kod i Endpoint Manager Mobile som exploaterades i ”mycket begränsade” attacker innan någon patch fanns tillgänglig. Kort därefter lade CISA till sårbarheten i sin katalog över kända exploaterade sårbarheter, enligt The Hacker News.
Cybersecurity News rapporterade att SQL-injektionssårbarheter i webbkonsoler som Ivantis EPM är ”väldokumenterade, enkla att beväpna och ofta måltavlor för ransomware-operatörer och nationalstatsaktörer”. Publikationen noterade att Fortinet-infrastruktur har lagts till CISA:s KEV-katalog 24 gånger, med 13 av dessa sårbarheter aktivt använda i ransomware-angrepp.
Detta visar att organisationer inte bör invänta bekräftad exploatering innan de installerar säkerhetsuppdateringar. Tidsfönstret mellan offentliggörande och aktiv exploatering fortsätter att krympa, särskilt för produkter som exponeras mot internet eller hanterar autentisering och nätverksperimetrar.
Vad som ska patchas först
Högsta prioritet bör ges till Fortinets CVE-2026-44277 och CVE-2026-26083. Båda kan exploateras på distans utan autentisering och påverkar system som normalt har omfattande nätverksåtkomst. Säkerhetsuppdateringar för FortiAuthenticator finns tillgängliga i versionerna 6.5.7, 6.6.9 och 8.0.3. För FortiSandbox varierar uppdateringarna beroende på produktversion och distributionsmodell.
Ivantis CVE-2026-8043 i Xtraction kräver autentisering men möjliggör både läs och skrivåtkomst till filer, vilket gör att den kan kombineras med andra angrepp. Åtgärden finns i Xtraction version 2026.2.
Båda leverantörerna har publicerat detaljerade säkerhetsrådgivningar med versionsspecifika instruktioner för uppdatering. Om systemen inte är exponerade mot internet kan uppdateringar installeras vid nästa planerade underhållsfönster. Är systemen däremot externt tillgängliga bör patchning ske omedelbart. t.
Referenser
- Fortinet, Ivanti Patch Critical Vulnerabilities
- Fortinet fixes two critical RCE flaws in FortiAuthenticator and FortiSandbox
- Ivanti Patches Multiple Vulnerabilities in Secure Access, Xtraction, vTM and Endpoint Manager
- Ivanti May 2026 Security Update
- Ivanti EPMM CVE-2026-6973 RCE Under Active Exploitation
This post is also available in:
English
Related News
Zero-click-sårbarhet i Microsoft 365 Copilot läckte känsliga data via e-post
Microsoft 365 Copilot innehöll en kritisk zero-click-sårbarhet som gjorde att angripare kunde stjäla känsliga företagsdata genom att bara skicka ett skadligt e-postmeddelande. Sårbarheten, som upptäcktes…
maj 13, 2026 
