Mise à jour FortiOS : gérer les vulnérabilités FortiGate sans risque
Avis PSIRT de Fortinet, chemin de mise à niveau officiel, versions matures, sauvegarde et fenêtre de maintenance : notre méthode pour mettre à jour un FortiGate.
La réponse courte : un FortiGate se met à jour avec méthode, pas dans l’urgence permanente ni dans l’oubli. Il faut surveiller les avis PSIRT de Fortinet, choisir une version mature de FortiOS adaptée au modèle, suivre le chemin de mise à niveau officiel sans sauter d’étape, lire les notes de version, sauvegarder la configuration, puis intervenir dans une fenêtre de maintenance avec un plan de retour arrière. Quand une faille critique est exploitée, on applique immédiatement le contournement publié, et la mise à jour suit au plus vite.
Le réglage initial du firmware fait partie de nos 10 réglages de sécurité à l’installation d’un FortiGate. Cet article traite de la suite : la gestion des vulnérabilités dans la durée. Chez ALLSAFE SOLUTIONS, intégrateur Fortinet au Maroc, c’est une tâche que nous assurons en continu pour les FortiGate que nous gérons, à Casablanca et partout au Maroc. Les faits cités proviennent de FortiGuard et de la documentation officielle de Fortinet.
Pourquoi les pare-feu sont des cibles prioritaires
Un pare-feu est exposé sur internet par nature : interface VPN, parfois interface d’administration, services publiés. Une faille dans ce boîtier donne à l’attaquant un accès direct au réseau, sans passer par un poste de travail. C’est pourquoi les vulnérabilités des équipements de sécurité, toutes marques confondues, sont exploitées très vite après leur publication.
Trois avis publiés par Fortinet sur son portail PSIRT illustrent le sujet :
| Avis FortiGuard | CVE | Nature | Ce que dit Fortinet |
|---|---|---|---|
| FG-IR-22-398 | CVE-2022-42475 | Dépassement de mémoire dans le service VPN SSL (sslvpnd) | Gravité critique, score CVSSv3 de 9,8 ; Fortinet avait connaissance d’un cas d’exploitation |
| FG-IR-24-015 | CVE-2024-21762 | Écriture hors limites dans le service VPN SSL (sslvpnd) | Gravité critique, score CVSSv3 de 9,8 ; potentiellement exploitée ; contournement : désactiver le VPN SSL, la seule désactivation du mode web ne suffisant pas |
| FG-IR-24-535 | CVE-2024-55591 | Contournement d’authentification de l’interface d’administration | Gravité critique, score CVSSv3 de 9,8 ; exploitation signalée ; FortiOS 7.0.0 à 7.0.16 concernés, corrigé en 7.0.17 |
Ces avis montrent deux constantes. Les services exposés sur internet, VPN SSL et interface d’administration en tête, concentrent les failles les plus graves. Et chaque avis indique un contournement immédiat en plus du correctif. Ce n’est pas une particularité de Fortinet : tous les constructeurs de pare-feu publient régulièrement des avis comparables. Ce qui fait la différence, c’est la rapidité de réaction de l’exploitant.
Suivre les avis PSIRT de Fortinet
La politique PSIRT de Fortinet fixe un calendrier clair :
- un avis mensuel, publié le deuxième mardi de chaque mois ;
- des avis hors cycle pour les vulnérabilités critiques, si nécessaire ;
- une publication possiblement anticipée quand Fortinet observe une exploitation active, parfois avant que tous les correctifs soient disponibles.
Pour être alerté, Fortinet propose un flux RSS des avis et une inscription par e-mail via son portail de support. Le portail fortiguard.com/psirt permet de filtrer par produit et par gravité. Nous recommandons d’y lire non seulement le titre, mais aussi les versions concernées, les versions corrigées et le contournement proposé.
Pour chaque nouvel avis, nous nous posons quatre questions : le produit et la version installée sont-ils concernés ? La fonction vulnérable est-elle activée, ou exposée sur internet ? Existe-t-il une exploitation connue ? Un contournement peut-il être appliqué dès aujourd’hui ? Les réponses déterminent le délai d’intervention.
La priorité dépend ensuite du contexte. Une faille critique du VPN SSL pèse peu si le VPN SSL est désactivé et l’interface d’administration fermée côté internet ; une faille modérée sur une fonction exposée à tous peut mériter une action plus rapide. C’est pourquoi nous tenons à jour, pour chaque FortiGate que nous gérons, une fiche avec sa version, ses fonctions activées et les services qu’il expose : quand un avis tombe, la réponse à la question « sommes-nous concernés ? » se trouve rapidement, sans enquête. La même fiche signale les boîtiers qui approchent de la fin de leur support, pour budgéter leur remplacement avant qu’il ne devienne urgent.
Choisir la bonne version : mature plutôt que récente
La version la plus récente n’est pas forcément la meilleure pour un pare-feu en production. Une nouvelle branche majeure apporte des fonctions, mais aussi des changements de comportement et, au début, des anomalies corrigées dans les versions suivantes. Une version de maintenance d’une branche établie est en général plus sûre.
Fortinet publie sur sa communauté technique une recommandation de version de FortiOS par modèle de FortiGate, mise à jour régulièrement. Nous la croisons avec les notes de version et avec les fonctions utilisées par le client.
Une nouvelle branche peut aussi retirer des fonctions. Exemple marquant : depuis FortiOS 7.6.3, le VPN SSL en mode tunnel n’existe plus, ses réglages ne sont pas convertis, et le mode web (renommé Agentless VPN) n’est pas pris en charge sur les séries 40F, 60F et 90G. Une mise à jour lancée sans préparation coupe les télétravailleurs. Nous détaillons la migration vers IPsec dans FortiClient VPN et ZTNA pour le télétravail.
Enfin, un modèle de FortiGate en fin de vie finit par ne plus recevoir de nouvelles versions. Si votre boîtier ne peut plus être corrigé, la question n’est plus la mise à jour mais le remplacement, abordé dans Renouvellement de licence FortiGate.
Le chemin de mise à niveau officiel
On ne passe pas directement de n’importe quelle version à n’importe quelle autre. Fortinet met à disposition un outil de chemin de mise à niveau (Upgrade Path Tool) sur sa bibliothèque documentaire : on indique le modèle, la version actuelle et la version cible, et l’outil renvoie la suite de versions intermédiaires à installer. Les notes de version le rappellent : certaines mises à niveau directes depuis des versions anciennes ne sont pas prises en charge. Fortinet précise aussi que ces chemins sont mis à jour de temps en temps : on consulte l’outil au moment de l’intervention, pas une ancienne capture d’écran.
Chaque étape intermédiaire compte. La configuration est convertie d’une version à l’autre ; sauter une étape non prévue, c’est risquer une règle, un VPN ou un objet mal converti, découvert le lendemain par les utilisateurs.
Préparer l’intervention
Avant toute mise à jour, nous réunissons les éléments suivants :
| Élément | Pourquoi |
|---|---|
| Sauvegarde de la configuration, stockée hors du boîtier | Pouvoir restaurer l’état exact d’avant |
| Image du firmware actuel | Pouvoir revenir à la version d’origine si nécessaire |
| Notes de version de chaque étape | Repérer fonctions retirées, changements et problèmes connus |
| Chemin de mise à niveau officiel | Ne sauter aucune étape intermédiaire |
| Compatibilité de FortiClient, FortiSwitch, FortiAP et FortiClient EMS | Éviter un réseau à moitié compatible |
| Accès console ou accès sur site | Garder la main si le boîtier ne redémarre pas comme prévu |
| Liste de tests après mise à jour | Vérifier internet, VPN, téléphonie, applications critiques |
| Fenêtre de maintenance validée | Prévenir les utilisateurs et éviter les heures de production |
Pour un cluster de haute disponibilité, la mise à niveau ininterrompue met à jour le boîtier secondaire, lui fait reprendre le trafic, puis met à jour l’ancien principal, comme nous l’expliquons dans FortiGate haute disponibilité. C’est l’un des meilleurs arguments pour un cluster dans un environnement qui ne peut pas s’arrêter.
Quand une faille critique tombe
Face à un avis critique avec exploitation connue, l’ordre des opérations change :
- Vérifier l’exposition : version installée, fonction concernée activée ou non, accessible depuis internet ou non.
- Appliquer le contournement publié dans l’avis, le jour même : désactiver le VPN SSL, restreindre l’interface d’administration à des adresses de confiance, désactiver la fonction vulnérable.
- Rechercher des traces de compromission à l’aide des indicateurs publiés par Fortinet quand ils existent, et des journaux du pare-feu.
- Planifier la mise à jour en urgence, en suivant malgré tout le chemin officiel et la sauvegarde préalable.
- Changer les mots de passe et revoir les comptes si une compromission ne peut pas être écartée.
Une règle simple réduit fortement l’exposition à ce type de faille : l’interface d’administration du FortiGate ne doit jamais être accessible depuis internet. C’est le premier des réglages que nous appliquons.
Le lien avec la loi 05-20 et la DGSSI
La loi 05-20 sur la cybersécurité impose aux entités publiques, aux infrastructures d’importance vitale et aux opérateurs concernés des règles de sécurité définies par la DGSSI. Elle prévoit aussi une amende pour toute organisation dont le système a servi, à son insu, à propager des programmes malveillants ou à commettre des actes illicites, si elle n’applique pas les directives de la DGSSI après en avoir été informée. Un pare-feu non corrigé, compromis puis utilisé comme relais, correspond exactement à ce scénario. Nous détaillons ces obligations dans Loi 05-20 sur la cybersécurité au Maroc et rôle de la DGSSI.
Les erreurs que nous corrigeons
- Un FortiGate jamais mis à jour depuis son installation, « parce que tout fonctionne ».
- Une mise à jour directe vers la dernière version, sans chemin intermédiaire ni lecture des notes de version.
- Aucune sauvegarde de configuration hors du boîtier, ou une sauvegarde vieille de plusieurs mois.
- L’interface d’administration ouverte sur internet, pour faciliter un dépannage ponctuel jamais refermé.
- Le VPN SSL conservé sur une version ancienne pour éviter la migration vers IPsec.
- Une intervention en pleine journée, sans prévenir les utilisateurs ni prévoir de retour arrière.
- Personne n’est abonné aux avis PSIRT : la faille est découverte par la presse, ou par l’attaquant.
Checklist de mise à jour FortiOS
- Lire l’avis PSIRT et vérifier si la version et les fonctions utilisées sont concernées.
- Choisir la version cible, mature et adaptée au modèle.
- Obtenir le chemin de mise à niveau officiel au jour de l’intervention.
- Lire les notes de version de chaque étape, notamment les fonctions retirées.
- Sauvegarder la configuration et l’image actuelle, hors du boîtier.
- Valider la fenêtre de maintenance et prévenir les utilisateurs.
- Mettre à jour, étape par étape, puis dérouler les tests.
- Vérifier la compatibilité de FortiClient, des switchs et des bornes.
- Consigner l’intervention : versions, date, tests, anomalies.
Comment nous procédons
Nous commençons par un audit offert de votre FortiGate : modèle, version de FortiOS, avis PSIRT qui le concernent, exposition de l’administration et du VPN, état des sauvegardes. Nous appliquons ensuite les contournements urgents, puis planifions la remise à niveau selon le chemin officiel, dans une fenêtre de maintenance convenue avec vous. Dans le cadre de notre infogérance au Maroc, nous suivons chaque avis de Fortinet pour les boîtiers que nous gérons, les pare-feu sont supervisés 24/7, et un incident critique est pris en charge en moins de 15 minutes.
Découvrez notre approche de la cybersécurité au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.
Questions fréquentes
Où suivre les vulnérabilités des FortiGate ?
Sur le portail PSIRT de FortiGuard (fortiguard.com/psirt), qui publie les avis de sécurité de Fortinet. Selon la politique PSIRT de Fortinet, les avis sont publiés le deuxième mardi de chaque mois, et les failles critiques peuvent faire l’objet d’un avis hors cycle. Un flux RSS et une inscription par e-mail via le portail de support permettent d’être alerté.
Faut-il installer la dernière version de FortiOS dès sa sortie ?
Non, sauf urgence de sécurité. Nous privilégions une version mature de la branche adaptée au modèle, en nous appuyant sur les recommandations publiées par Fortinet. Une nouvelle branche majeure peut aussi supprimer des fonctions : le VPN SSL en mode tunnel a disparu à partir de FortiOS 7.6.3.
Qu’est-ce que le chemin de mise à niveau (upgrade path) ?
C’est la suite de versions intermédiaires à installer pour passer d’une version de FortiOS à une autre. Fortinet le fournit via un outil en ligne qui demande le modèle, la version actuelle et la version cible. Sauter des étapes non prévues expose à une configuration mal convertie.
Que faire si une faille critique est exploitée et que la mise à jour n’est pas possible tout de suite ?
Appliquer sans attendre le contournement indiqué dans l’avis PSIRT, par exemple désactiver le VPN SSL ou restreindre l’accès à l’interface d’administration, puis planifier la mise à jour au plus vite. Le contournement réduit le risque, il ne remplace pas le correctif.
La loi 05-20 impose-t-elle de mettre à jour son pare-feu ?
Elle ne cite pas de produit, mais elle impose aux entités et infrastructures concernées des règles de sécurité fixées par la DGSSI, et prévoit une sanction pour toute organisation dont le système a servi à une attaque si elle n’applique pas les directives de la DGSSI après en avoir été informée. Un pare-feu à jour fait partie des mesures de base attendues.
À propos de la rédaction
ALLSAFE SOLUTIONS
Ingénieurs réseau, sécurité et cloud
Rédigé par l’équipe d’ingénieurs d’ALLSAFE SOLUTIONS, infogérant fondé à Casablanca par des ingénieurs réseau, sécurité et cloud. Nos articles s’appuient sur les projets que nous menons chez nos clients, au Maroc comme à l’international.
LinkedIn
