Fortinet: Hochriskante Lücken in FortiWeb, FortiManager und weiteren

close notice

This article is also available in English. It was translated with technical assistance and editorially reviewed before publication.

Don’t show this again.

Fortinet nennt es zwar nicht Patchday, verteilt aber parallel zu dem Patchday-Datum mehrere Sicherheitsupdates für diverse Produkte. Hochriskante Lücken finden sich etwa in FortiWeb, FortiManager und FortiClientLinux. Angreifer können Befehle einschleusen oder Brute-Force-Angriffe auf Zugänge starten.

Die gravierendste Sicherheitslücke betrifft FortiClientLinux. Aufgrund einer Link-Verfolgungs-Schwachstelle können lokale User ohne weitreichende Rechte ihre Berechtigungen auf root ausweiten (CVE-2026-24018, CVSS 7.4, Risiko „hoch“). Unzureichende Prüfung der Interaktionsfrequenz ermöglicht nicht authentifizierten Angreifern, das Authentifizierungs-Rate-Limit von FortiWeb mit manipulierten Anfragen auszuhebeln (CVE-2026-24017, CVSS 7.3, Risiko „hoch“). Die Versionen FortiWeb 7.0.12, 7.2.12, 7.4.11, 7.6.6 und 8.0.3 oder jeweils jüngere korrigieren den Fehler. Im fgtupdates-Dienst von FortiManager kann beim Verarbeiten von manipulierten Anfragen an den Dienst durch nicht angemeldete Angreifer aus dem Netz ein Stack-basierter Pufferüberlauf auftreten, in dessen Folge sich Befehle einschleusen und ausführen lassen (CVE-2025-54820, CVSS 7.0, Risiko „hoch“). FortiManager 7.2.11 und 7.4.3 sowie neuere bessern die Schwachstelle aus; wer noch auf Stand 6.4 ist, muss auf neuere Fassungen aktualisieren. Sofern der fgtupdates-Dienst aktiviert ist, hilft alternativ auch einfach das Abschalten.

Fortinet listet noch 15 weitere Sicherheitslücken auf:

• MFA Bypass in GUI, FortiAnalyzer (+Cloud), FortiManager (+Cloud) (CVE-2026-22572, CVSS 6.8, Risiko „mittel“)
• OS Command injection in FortiWeb API, FortiWeb (CVE-2025-66178, CVSS 6.7, Risiko „mittel“)
• Format string vulnerability in fazsvcd, FortiAnalyzer (+Cloud), FortiManager (+Cloud) (CVE-2025-68648, CVSS 6.5, Risiko „mittel“)
• Privilege escalation using undocumented CLI command, FortiAnalyzer (+Cloud), FortiManager (+Cloud) (CVE-2025-48418, CVSS 6.4, Risiko „mittel“)
• Lack of TLS Certificate Validation during initial SSO Authentication, FortiAnalyzer, FortiManager (CVE-2025-68482, CVSS 6.3, Risiko „mittel“)
• Arbitrary file deletion in administrative interface, FortiDeceptor (CVE-2026-25689, CVSS 6.0, Risiko „mittel“)
• Stack buffer overflow in API, FortiWeb (CVE-2026-30897, CVSS 5.9, Risiko „mittel“)
• Stack-based Buffer Overflow in API protection, FortiWeb (CVE-2026-24640, CVSS 5.9, Risiko „mittel“)
• SQL injection in jsonrpc api, FortiAnalyzer(+BigData) (CVE-2025-49784, CVSS 5.6, Risiko „mittel“)
• Protected hostname bypass, FortiWeb (CVE-2025-48840, CVSS 5.0, Risiko „mittel“)
• XSS in LDAP server option, FortiSandbox (CVE-2025-53608, CVSS 4.6, Risiko „mittel“)
• Reflected Cross Site Scripting (XSS) in error page, FortiSIEM (CVE-2026-25972, CVSS 4.1, Risiko „mittel“)
• Insecure Exposure of Plaintext Passwords in Debug Logs, FortiMail, FortiRecorder, FortiVoice (CVE-2025-55717, CVSS 3.8, Risiko „niedrig“)
• Authentication Lockout Bypass via Race Condition, FortiAnalyzer (+Cloud), FortiManager (+Cloud) (CVE-2026-22629, CVSS 3.4, Risiko „niedrig“)
• Null Pointer Dereference in Anti-Defacement feature, FortiWeb (CVE-2026-24641, CVSS 2.5, Risiko „niedrig“)

FortiGate-Firewall-Einbrüche führen zu kompromittierten ADs

SentinelOne hat derweil Analyse-Ergebnisse zu FortiGate-Firewall-Einbrüchen veröffentlicht. Die IT-Forscher bemängeln darin zunächst, dass als wiederkehrendes Muster betroffene Organisationen nicht genügend mitprotokollieren, was die Untersuchungen zu Zeitpunkt und genutzter Schwachstellen zum Eindringen verhindert. Der Zeitraum zwischen Einbruch in die Firewall und Kompromittierung weiterer Geräte rangierte zwischen nahezu umgehend und zwei Monaten. Die Analysten erläutern unter anderem, wie Angreifer Gerätekonfigurationen ausforschen und etwa eigene Admin-Konten anlegen, mit denen sie sich persistenten Zugriff sichern. Vor der weiteren Verbreitung im Netz gab es lediglich zwischendurch Logins zum Prüfen, ob der Zugriff noch besteht. SentinelOne sieht darin typisches Verhalten von Initial-Access-Brokern, die geknackte Zugänge an Dritte verkaufen. Diese haben dann Maschinen ins AD verfrachtet und sich darüber weiteren Zugriff auf das Netzwerk verschaffen wollen. Die Scans lösten dann jedoch Sicherheitsalarme aus.

In einem anderen Fall haben die Angreifer ebenfalls einen lokalen Admin auf der geknackten FortiGate-Firewall angelegt und AD-Zugangsdaten daraus ausgelesen. Innerhalb der folgenden zehn Minuten haben die Angreifer sich mit dem AD-Admin-Konto in mehrere Server eingeloggt und Remote-Monitoring-und-Management-Tools (RMM) installiert. Bei Pulseway und MeshAgent handelt es sich den Autoren des Berichts zufolge um legitime Admin-Tools, die jedoch häufig von bösartigen Akteuren eingesetzt werden. Die Angreifer installierten dann Malware, die sie von AWS-Cloudspeicher heruntergeladen hatten. Damit haben sie eine Volumenschattenkopie angelegt und daraus einige Daten an die Server der Angreifer übertragen. Diese Vorfälle zeigen, dass die kompromittierte Firewall tatsächlich für tiefgreifende Unterwanderung missbraucht wird.

Wer Fortinet-Produkte einsetzt, sollte die verfügbaren Aktualisierungen also zügig installieren. Die Schwachstellen in den Netzwerkprodukten stehen bei Cyberkriminellen hoch im Kurs und werden immer wieder rasch nach Bekanntwerden angegriffen.

(dmk)