Fortinet 于 2026 年 10 月 13 日发布安全公告，披露 FortiSIEM 的严重漏洞 CVE-2026-106173：滥用某个 gRPC 服务实现任意文件写入。Horizon3 此前已多次披露 FortiSIEM 问题，但都集中在 tcp/7900 上的 phMonitor 服务，这次则是此前没看过的 tcp/27918 上的 gRPC 服务。该端口由 phQueryMaster 起服务，地址绑成 [::]:27918 即所有网卡；关键缺陷是 SslServerCredentialsOptions 里 client_certificate_request 保持默认的「不请求客户端证书」，于是任何远程客户端都能未认证接入。可用的 RPC 方法 SendQueryResult 从消息里解析 query-id、src-ip、period-start、period-end，然后用字符串拼接构造路径 /query/result/<queryId>，完全没有输入校验，query-id 填 ../../../../../tmp/x 就能目录穿越。文件名虽被服务端拼成 result-<src>-<start>-<end>-<id>.dat，但服务端按客户端声明的长度复制 header 值，于是可以在 query-id 里塞 null 字节：操作系统把它当作字符串结尾，直接丢弃后面的固定后缀，写入精确落在 null 之前那个路径上。作者用这种手法覆盖 Cron 每 60 秒执行的 /opt/charting/redishb.sh 拿到代码执行，POC 已公开。