攻擊模擬與滲透測試資安業者 Horizon3.ai 於 10 月 20 日公開網路安全業者 Fortinet 旗下資安資訊與事件管理（Security Information and Event Management，SIEM）平台 FortiSIEM 的重大漏洞
CVE-2026-106173 技術分析與概念驗證（PoC）程式。該漏洞 CVSS 評分為 9.4，
未經身分驗證的攻擊者可透過特製封包執行未授權程式碼或指令。Fortinet 已於 10 月 13 日發布修補，
受影響版本僅限 FortiSIEM 7.5.0。
漏洞性質與影響範圍
Fortinet 在公告 FG-IR-26-180 中說明，
CVE-2026-106173 屬於路徑穿越（path traversal，CWE-22）漏洞，出現在 FortiSIEM 的 gRPC 元件 phQueryMaster，公告標題為任意檔案寫入。Fortinet 將嚴重程度列為嚴重，攻擊類型為未經驗證。
受影響版本僅有 FortiSIEM 7.5.0，用戶需升級至 7.5.1 以上版本。FortiSIEM 7.6 與 FortiSIEM Cloud 不受影響。這項漏洞由 Fortinet 產品安全團隊的 Gwendal Guégniaud 於內部發現並通報。公告發布時，「已知遭利用」欄位標示為否。
兩個弱點如何串成攻擊鏈
Horizon3.ai 指出，phQueryMaster 在 TCP 27918 連接埠提供 gRPC 服務，並綁定所有網路介面。伺服器設定為不要求用戶端憑證，任何遠端用戶端不需驗證即可連線，並呼叫其中的 SendQueryResult 方法。
攻擊鏈由兩個弱點組成。第一個弱點是，
伺服器將使用者提供的 query-id 直接串接成檔案目錄，沒有任何輸入驗證，攻擊者因此能跳出預定目錄，自行指定檔案寫入位置。第二個弱點是，
伺服器會在檔名後自動加上固定格式的結尾，攻擊者原本無法控制完整檔名。但伺服器依用戶端宣告的長度複製標頭值，攻擊者可在 query-id 中嵌入空位元組（NUL byte）。作業系統開啟檔案時，會把空位元組視為字串結尾並捨棄後方內容，伺服器加上的檔名結尾因此失效。
Horizon3.ai 首席攻擊工程師（Chief Attack Engineer）Zach Hanley 表示：「寫入會落在空位元組之前的確切路徑。若指向既有檔案，會原地覆寫並保留原本的擁有者與權限。」
Horizon3.ai 的概念驗證即是覆寫系統上定期由排程執行的腳本，將任意寫檔轉為遠端程式碼執行，相關程式碼已放上 GitHub。
研究背景
Horizon3.ai 表示，該公司過去針對 FortiSIEM 揭露的漏洞，包括
CVE-2023-34992、
CVE-2024-23108 與
CVE-2025-64155，都集中在監聽 TCP 7900 連接埠的 phMonitor 服務。這次的 gRPC 服務是該公司先前未研究過的元件。
資安建議
Horizon3.ai 表示，目前找不到能明確顯示此漏洞遭利用的應用程式日誌。管理者可採取以下措施：
- 使用 FortiSIEM 7.5.0 者，儘速升級至 7.5.1 以上版本。
- 暫時無法升級者，依 Fortinet 公告限制 TCP 27918 連接埠的存取。
- 若擔心漏洞已被用於覆寫既有腳本，檢查檔案的寫入或修改時間戳記，留意與周邊檔案不一致者。
本文轉載自TheHackerNews。