Eine neue Schwachstelle im Betriebssystem FortiOS von Fortinet wurde von CERT‑Bund in der Sicherheitsberatung WID‑SEC‑2026‑0085 veröffentlicht. Die Lücke erlaubt einem entfernten, nicht authentifizierten Angreifer, beliebigen Programmcode auf betroffenen Geräten auszuführen.
Hintergrund
FortiOS ist das zentrale Betriebssystem für viele Netzwerk‑ und Sicherheitsgeräte von Fortinet, die in Unternehmen und Behörden weltweit eingesetzt werden. Die gemeldete Schwachstelle betrifft die Verarbeitung bestimmter Netzwerkpakete, wodurch ein Angreifer die Kontrolle über das System erlangen kann.
Technische Details
Der Fehler liegt in einer fehlerhaften Validierung von Eingabedaten im Modul für die Paketverarbeitung. Durch das Senden speziell gestalteter Pakete kann ein Angreifer Code einschleusen, der mit Systemrechten ausgeführt wird. Die Ausnutzung erfordert keinen vorherigen Zugriff auf das Netzwerksegment des Zielgeräts.
Betroffene Systeme
Laut Angaben des Herstellers sind alle FortiOS‑Versionen bis einschließlich 7.2.5 von der Schwachstelle betroffen. Neuere Versionen, die nach dem 15. April 2026 veröffentlicht wurden, enthalten bereits Korrekturen.
Risiken
Ein erfolgreicher Angriff kann zur vollständigen Kompromittierung des betroffenen Geräts führen, einschließlich Datenexfiltration, Manipulation von Netzwerkverkehr und Nutzung des Systems als Sprungbrett für weitere Angriffe im internen Netz.
Empfohlene Maßnahmen
Administratoren sollten unverzüglich die von Fortinet bereitgestellten Sicherheitspatches installieren und, falls ein sofortiges Update nicht möglich ist, temporäre Schutzmaßnahmen wie das Blockieren betroffener Netzwerkports implementieren. Zusätzlich wird empfohlen, die Systemprotokolle auf ungewöhnliche Aktivitäten zu prüfen.
Ausblick
Fortinet arbeitet an einer langfristigen Lösung, um die Code‑Validierung in zukünftigen Releases zu stärken. CERT‑Bund wird die Situation weiter beobachten und bei Bedarf weitere Hinweise veröffentlichen.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung