Fortinet FortiWeb: Angreifer können sich mit beliebigen Zugangsdaten einloggen

Ein schwerwiegender Vorfall für IT-Sicherheitsinfrastrukturen

In der Welt der IT-Sicherheit hat der Hersteller Fortinet eine dringende Warnung herausgegeben, die Administratoren weltweit zum sofortigen Handeln zwingt. Wie aus aktuellen Berichten hervorgeht, wurden in einer Reihe von weit verbreiteten Softwareprodukten des Unternehmens kritische Sicherheitslücken identifiziert. Diese Schwachstellen ermöglichen es Angreifern in bestimmten Szenarien, die Authentifizierungsmechanismen zu umgehen oder gar als Administrator auf sensible Systeme zuzugreifen. Besonders betroffen ist dabei die Web-Application-Firewall FortiWeb, bei der eine als hoch eingestufte Lücke es ermöglicht, mit beliebigen Zugangsdaten in Systeme einzudringen. Der Vorfall unterstreicht die enorme Bedeutung von Sicherheits-Patches, da Fortinet-Produkte in der Regel in zentralen Netzwerkknotenpunkten von Unternehmen eingesetzt werden. Ein erfolgreicher Angriff könnte somit weitreichende Konsequenzen für die gesamte IT-Infrastruktur der betroffenen Organisationen haben. Da die Schwachstellen teilweise aus der Ferne ausnutzbar sind, besteht ein erhebliches Risiko, das durch eine zeitnahe Installation der bereitgestellten Updates minimiert werden muss.

Die technischen Details der Schwachstellen

Die Sicherheitslücken betreffen verschiedene Komponenten des Fortinet-Portfolios, wobei die Schwachstelle mit der Kennung CVE-2026-26035 bei FortiWeb als besonders kritisch hervorgehoben wird. Diese Lücke erlaubt es Angreifern, ohne eine vorherige Authentifizierung aus der Ferne auf Instanzen zuzugreifen, sofern sie beliebige Zugangsdaten verwenden. Allerdings ist die Ausnutzung an eine spezifische Konfiguration gebunden: Die Schwachstelle tritt nur dann auf, wenn in den Einstellungen für den Remote-Type-Administrator-Account die sogenannte Wildcard-Option aktiviert wurde. Da diese Option standardmäßig deaktiviert ist, ist das Gefahrenpotenzial auf Systeme begrenzt, bei denen diese spezifische Konfiguration vorgenommen wurde. Betroffene Versionen sind durch die Updates auf 7.2.13, 7.4.12, 7.6.7 oder 8.0.3 abzusichern. Eine weitere schwerwiegende Lücke, CVE-2026-70468, betrifft den FortiManager sowie die entsprechende Cloud-Variante. Hier können Angreifer ebenfalls die Anmeldung umgehen und unbefugten Zugriff erlangen, allerdings ist hierfür zwingend ein gültiges Zertifikat erforderlich. Hierfür stehen Patches in den Versionen 7.2.10, 7.4.6 und 7.6.2 bereit. Schließlich ist mit CVE-2026-70465 eine dritte kritische Lücke für FortiClientWindows dokumentiert, die es ermöglicht, Schadcode einzuschleusen, falls ein Angreifer in der Lage ist, DNS-Antworten zu manipulieren.

Hintergrund und bisheriger Verlauf der Sicherheitslage

Die Entdeckung dieser Sicherheitslücken reiht sich in eine Serie von Herausforderungen ein, mit denen sich Fortinet in der jüngeren Vergangenheit konfrontiert sah. Der Hersteller, dessen Lösungen als Rückgrat vieler Unternehmensnetzwerke fungieren, steht regelmäßig im Fokus von Sicherheitsforschern und Angreifern gleichermaßen. Die aktuelle Meldung ist das Ergebnis einer kontinuierlichen Überprüfung der Software-Integrität. Dabei wurde deutlich, dass neben den bereits genannten Produkten auch FortiPAM und FortiOS von verschiedenen Schwachstellen betroffen sind. Es ist ein bekanntes Muster in der IT-Industrie, dass komplexe Sicherheitssoftware, die tief in die Netzwerkarchitektur eingreift, eine hohe Angriffsfläche bietet. Die nun veröffentlichten Korrekturen sind das Resultat einer intensiven Analyse, die darauf abzielte, die Sicherheit der Systeme wiederherzustellen. Die Tatsache, dass Fortinet zeitnah Patches für die betroffenen Versionen 7.2.x, 7.4.x, 7.6.x und 8.0.x bereitgestellt hat, zeigt, dass das Unternehmen die Bedrohungslage ernst nimmt und proaktiv auf die Identifizierung der Schwachstellen reagiert hat, um eine Ausnutzung in der Praxis zu verhindern.

Die betroffenen Akteure und Entscheidungsträger

Die Hauptakteure in diesem Szenario sind die IT-Administratoren in den Unternehmen, die Fortinet-Lösungen einsetzen. Sie stehen nun in der Verantwortung, die von Fortinet bereitgestellten Sicherheitsupdates zeitnah zu evaluieren und in ihre IT-Umgebungen zu integrieren. Auf der Seite des Herstellers ist es das Security-Team von Fortinet, das die Schwachstellen analysiert, die Patches entwickelt und die Sicherheitswarnungen koordiniert. Zudem spielen externe Sicherheitsbehörden eine Rolle, wie beispielsweise die US-IT-Sicherheitsbehörde CISA, die bereits Ende Juli vor Angriffen auf FortiOS gewarnt hatte. Diese Behörde fungiert als wichtiger Multiplikator für Sicherheitswarnungen und sorgt dafür, dass Unternehmen weltweit über potenzielle Bedrohungen informiert werden. Auch die Nutzer der betroffenen Produkte, insbesondere Administratoren von FortiWeb, FortiManager und FortiClient, sind direkt betroffen, da sie die Entscheidung treffen müssen, wann und wie die Wartungsfenster für die Installation der Patches gesetzt werden. Die Kommunikation zwischen dem Hersteller und den Anwendern ist hierbei der entscheidende Faktor, um die Sicherheitslücken zu schließen, bevor sie von böswilligen Akteuren ausgenutzt werden können.

Einordnung der Sicherheitslage

Einzuordnen ist die Situation so, dass die Schwachstellen zwar ein hohes Risiko darstellen, die tatsächliche Gefahr jedoch stark von der individuellen Konfiguration der Systeme abhängt. Den Berichten zufolge gibt es derzeit noch keine konkreten Meldungen über aktive Angriffe, die diese spezifischen Lücken ausnutzen. Dennoch ist die Einstufung als „hoch“ bei den genannten CVE-Nummern ein deutliches Warnsignal. Es ist davon auszugehen, dass Angreifer nach der Veröffentlichung der Details versuchen werden, die Schwachstellen in ungepatchten Systemen zu identifizieren. Da Fortinet-Produkte oft an kritischen Stellen im Netzwerk sitzen, ist das Risiko eines unbefugten Zugriffs oder einer Kompromittierung des gesamten Netzwerks als signifikant einzustufen. Die Empfehlung, das Patchen nicht auf die lange Bank zu schieben, ist daher nicht nur eine formale Sicherheitsmaßnahme, sondern eine notwendige Reaktion auf die strategische Bedeutung dieser Systeme. Auch wenn die Lücken mit den Bedrohungsgraden „mittel“ und „niedrig“ für weniger kritisch gehalten werden, sollten sie im Rahmen einer umfassenden Sicherheitsstrategie ebenfalls zeitnah adressiert werden, um DoS-Attacken oder andere Störungen zu vermeiden.

Offene Fragen zur Bedrohungslage

Der vorliegende Quelltext lässt einige Fragen offen, die für Administratoren von großem Interesse sein könnten. So wird beispielsweise nicht explizit ausgeführt, wie lange die Sicherheitslücken bereits existierten, bevor sie entdeckt wurden. Es bleibt unklar, ob es in der Vergangenheit bereits unentdeckte Einbrüche gegeben haben könnte, die diese spezifischen Schwachstellen ausgenutzt haben. Zudem wird nicht detailliert beschrieben, welche spezifischen Forensik-Methoden Administratoren anwenden können, um eine mögliche Kompromittierung ihrer Systeme durch diese Lücken im Nachhinein festzustellen. Auch die Frage, ob für ältere, nicht mehr unterstützte Versionen der Software noch Workarounds existieren, wird nicht beantwortet. Die Dokumentation konzentriert sich primär auf die betroffenen Versionen und die entsprechenden Patches, lässt aber den Bereich der Legacy-Systeme weitgehend aus. Ebenso bleibt offen, inwieweit die Cloud-Varianten von FortiManager automatisch durch den Anbieter aktualisiert werden oder ob hier ein manuelles Eingreifen der Kunden erforderlich ist. Diese Lücken in der Informationslage erfordern von den Administratoren eine eigene, tiefergehende Prüfung der jeweiligen Systemumgebungen, um sicherzustellen, dass keine versteckten Risiken bestehen bleiben.

Wie es weitergeht: Schritte für Administratoren

Der nächste logische Schritt für alle betroffenen Organisationen ist die unverzügliche Planung und Durchführung der Update-Prozesse. Administratoren sollten umgehend prüfen, ob ihre installierten Versionen von FortiWeb, FortiManager oder FortiClientWindows von den genannten CVE-Nummern betroffen sind. Die bereitgestellten Versionen 7.2.13, 7.4.12, 7.6.7 und 8.0.3 für FortiWeb sowie die entsprechenden Pendants für FortiManager und FortiClient müssen zeitnah eingespielt werden. Da viele der betroffenen Produkte in zentralen Netzwerkbereichen agieren, ist eine sorgfältige Planung der Wartungsfenster erforderlich, um den laufenden Geschäftsbetrieb nicht unnötig zu beeinträchtigen. Es ist davon auszugehen, dass Fortinet in den kommenden Tagen und Wochen weitere Informationen zur Sicherheitssituation veröffentlichen wird, falls neue Erkenntnisse über die Ausnutzung der Lücken gewonnen werden. Unternehmen sollten zudem die Sicherheits-Newsletter des Herstellers abonnieren, um über zukünftige Warnmeldungen und weitere notwendige Patches informiert zu bleiben. Die Überwachung der Systemprotokolle auf ungewöhnliche Aktivitäten bleibt zudem eine essenzielle Aufgabe, um im Falle eines Angriffsversuchs schnell reagieren zu können.