// HEISE ONLINE — CYBERSECURITY
Fortinet FortiWeb: Angreifer können sich mit beliebigen Zugangsdaten einloggen
Sicherheitsupdates schließen mehrere Lücken in Software von Fortinet.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
FortiClientWindows, FortiManager, FortiOS, FortiPAM und FortiWeb sind verwundbar. Im schlimmsten Fall können Angreifer als Admin auf Systeme zugreifen. Patches lösen die Sicherheitsprobleme.
Am gefährlichsten gilt eine Schwachstelle (CVE-2026-26035 „hoch“) in FortiWeb. Darüber können Angreifer aus der Ferne und ohne Authentifizierung mit beliebigen Zugangsdaten auf Instanzen zugreifen. Das klappt aber nur, wenn in den Optionen beim Remote-Type-Administrator-Account die Wildcard-Option gesetzt ist. Das ist standardmäßig nicht der Fall. Die Versionen 7.2.13, 7.4.12, 7.6.7 und 8.0.3 sind repariert.
Eine weitere Lücke (CVE-2026-70468) mit dem Bedrohungsgrad „hoch“ betrifft FortiManager und FortiManager Cloud. Forti Manager 8.0 ist davon nicht betroffen. Auch hier können Angreifer die Anmeldung umgehen und unbefugt auf Systeme zugreifen. Dafür müssen sie aber über ein gültiges Zertifikat verfügen. Abhilfe schaffen die Ausgaben 7.2.10, 7.4.6 und 7.6.2.
Die dritte mit „hoch“ eingestufte Schwachstelle (CVE-2026-70465) betrifft FortiClientWindows. Befindet sich ein Angreifer in einer Position um DNS-Antworten manipulieren zu können, kann Schadcode auf Systeme gelangen. FortiClientWindows 8.0 ist nicht verwundbar. 7.2.12 und 7.4.4 sind dagegen gerüstet.
Die restlichen Lücken sind mit dem Bedrohungsgrad „mittel“ und „niedrig“ versehen. An diesen Stellen kann es unter anderem zu DoS-Attacken kommen. Auch wenn es bislang noch keine Berichte über laufende Angriffe gibt, sollten Admins das Patchen nicht auf die lange Bank schieben. Schließlich agieren Fortinetprodukte oft in zentralen Netzwerkbereichen von Unternehmen und sind somit lohnende Ziele.
Zuletzt warnte die US-IT-Sicherheitsbehörde CISA Ende Juli vor Attacken auf FortiOS.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.