資安廠商 Fortinet 於 10 月 21 日公告，針對 FortiOS（作業系統）、FortiManager（集中管理）、FortiAnalyzer（日誌分析）、FortiMail（郵件安全）與 FortiAuthenticator（身分驗證）發布資安強化更新，但將所修補漏洞的細節暫緩至 2026 年 11 月 10 日公開。Fortinet 將這批漏洞評為嚴重與高風險，並表示漏洞是在 AI 模型協助下發現，再由人工驗證。據外媒報導，Fortinet 資安長 Carl Windsor 呼籲客戶不要等到細節公開才更新，因為攻擊者同樣能運用 AI 工具。
修補細節延後公開，Fortinet 強調時間差持續縮短
Windsor 在公告中指出，漏洞揭露與遭利用之間的時間窗口持續縮短，且預期還會繼續縮短。他說明，更新一旦公開，修補內容本身就會顯示程式的修改位置，進而暴露潛在的系統弱點，使尚未更新的設備更容易成為攻擊目標。
外媒分析指出，
Fortinet 設備向來是攻擊者偏好的目標，而此次修補的漏洞被評為嚴重與高風險，代表至少部分漏洞可能不需事先驗證身分，就能從遠端利用。Fortinet 也警告，AI 能把看似無關的低嚴重度漏洞串連起來，形成更嚴重、可被利用的漏洞。
五個產品線均有修補版本
在已提供修補的版本中，FortiOS、FortiManager 與 FortiAnalyzer 涵蓋 8.0、7.6、7.4 與 7.2 分支。FortiMail 涵蓋 8.0、7.6 與 7.4 分支，使用 7.2 分支的客戶應升級至 7.4 或更新分支。FortiAuthenticator 則涵蓋 8.0 與 6.6 分支。
另外，近期受到關注的 PHP2Shell 漏洞並未包含在這批更新中。外媒指出，上述五項產品不受 PHP2Shell 漏洞影響。
以攻擊者視角檢測韌體，再把 AI 用於原始碼
Fortinet 數個月來在資安測試流程中，同時使用前沿 AI 模型與自家的地端模型。團隊先模擬攻擊者的處境，在沒有原始碼的條件下，讓模型分析韌體、描繪運作方式與可能的攻擊面，再以滲透測試與紅隊演練驗證模型提供的線索。
這種做法找到的可利用漏洞不多，卻讓 Fortinet 發現，AI 模型擅長比對不同版本的韌體，並為已修補的漏洞建立概念驗證（PoC）攻擊程式。Windsor 因此提醒客戶不要延後升級。
多數發現來自把模型用於 Fortinet 自家的原始碼，這是攻擊者通常無法取得的資料。Fortinet 針對 30 個產品系列進行逾 100 次測試，其中約 40% 的發現是真實漏洞，30% 為誤報，另 30% 屬於可強化安全性、但並非可利用的缺陷。
管理員應優先處理的事項
Fortinet 建議，面向網際網路的系統應優先更新。Fortinet 也提出可暫時降低風險的做法，包括：
- 將管理介面的存取限制在信任的 IP 位址
- 避免讓 FortiManager 暴露在網際網路
- 使用強度足夠且不重複的帳號密碼
- 對管理員帳號強制啟用多因素驗證（MFA）
Windsor 強調，這些措施無法取代升級。外媒也提醒，管理員尚未更新者應立即處理，因為攻擊者不會等到 11 月 10 日。
本文編譯自Help Net Security。