Zum Inhalt springen
Alle Beiträge

· von NetProtector Security Team

Fortinet: FortiCloud-SSO-Lücke trifft auch bereits gepatchte FortiGates

Illustration: Ein Anmeldeschlüssel aus der Cloud öffnet die Schlösser mehrerer fremder Firewalls, neue Administratorkonten entstehen

Wer seine FortiGate bei FortiCare registriert, schaltet dabei oft ganz nebenbei eine bequeme Funktion ein: die Administrator-Anmeldung per FortiCloud-Single-Sign-on. Genau darüber konnten sich Angreifer zuletzt auf fremden Firewalls als Administrator anmelden – auch auf Geräten, die alle Updates aus dem Dezember eingespielt hatten. Fortinet hat die Schwachstelle CVE-2026-24858 am 27. Januar 2026 veröffentlicht, die US-Behörde CISA hat sie am selben Tag in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.

Worum es geht

FortiCloud SSO erlaubt es, sich mit dem FortiCloud-Konto direkt an der Verwaltungsoberfläche einer registrierten FortiGate anzumelden. Ab Werk ist die Funktion aus. Bei der Registrierung des Geräts wird sie aber aktiviert, sofern der Administrator die Option „Allow administrative login using FortiCloud SSO“ nicht ausdrücklich abschaltet. Der Fehler: Ein Angreifer mit einem eigenen FortiCloud-Konto und einem eigenen registrierten Gerät konnte sich damit auch an Geräten anmelden, die zu anderen Konten gehören.

Die Eckdaten laut Fortinet-Advisory FG-IR-26-060 vom 27. Januar 2026:

  • Schweregrad: kritisch, CVSS 9.8 im aktuellen Advisory. In ersten Berichten war von 9.4 die Rede – das ist der zeitbezogene Wert, der den Stand von Ausnutzung und Patch einrechnet.
  • Betroffen: FortiOS 7.0 bis 7.6 (bis einschließlich 7.6.5, 7.4.10, 7.2.12 und 7.0.18) sowie FortiProxy 7.0 bis 7.6. Auch FortiManager, FortiAnalyzer, FortiWeb und FortiSwitchManager sind betroffen. FortiOS 8.0 und 6.4 sind es nicht – und auch nicht Installationen, die einen eigenen Identitätsanbieter nutzen, etwa FortiAuthenticator.
  • Behoben in: FortiOS 7.6.6, 7.4.11, 7.2.13 und 7.0.19 bzw. FortiProxy 7.6.5, 7.4.13, 7.2.16 und 7.0.23. Die Updates erschienen gestaffelt in den Tagen nach dem Advisory.
  • Voraussetzung für den Angriff: ein FortiCloud-Konto mit registriertem Gerät auf Angreiferseite und aktivierte FortiCloud-SSO-Anmeldung auf dem Zielgerät. Zugangsdaten des Opfers braucht der Angreifer nicht.
  • Folge: Administratorzugriff auf die Firewall – und damit auf ihre Konfiguration, ihre Konten und ihre VPN-Einstellungen.

Warum das dringend ist

Die Lücke hat eine Vorgeschichte. Am 9. Dezember 2025 hatte Fortinet zwei andere Fehler in derselben Funktion veröffentlicht, CVE-2025-59718 und CVE-2025-59719. Sie waren bei einer internen Code-Prüfung aufgefallen, wurden aber schon wenige Tage später aktiv ausgenutzt – die CISA führte CVE-2025-59718 ab dem 16. Dezember als angegriffen. Wer damals zügig aktualisiert hatte, durfte sich sicher fühlen.

Ab dem 15. Januar 2026 beobachtete das Sicherheitsunternehmen Arctic Wolf jedoch eine neue Welle automatisierter Angriffe: Anmeldungen über FortiCloud SSO, unmittelbar danach der Download der Firewall-Konfiguration, das Anlegen zusätzlicher Administratorkonten mit unauffälligen Namen wie „secadmin“ oder „support“ und Änderungen, die diesen Konten VPN-Zugang verschaffen. Alles innerhalb weniger Sekunden. Betroffen waren auch Geräte, die vollständig gepatcht waren – Fortinet bestätigte, dass hier ein neuer Angriffsweg genutzt wurde.

Fortinet sperrte die beiden missbrauchten FortiCloud-Konten, schaltete am 26. Januar die FortiCloud-SSO-Anmeldung auf Cloud-Seite für alle Kunden ab und nahm sie einen Tag später wieder in Betrieb – nun ohne Unterstützung für verwundbare Versionen. Das ist eine ungewöhnlich weitreichende Maßnahme, die auch ungepatchte Geräte vor weiteren Anmeldungen über diesen Weg geschützt hat. Für bereits kompromittierte Geräte kam sie aber zu spät: Die angelegten Konten und die abgezogenen Konfigurationen bleiben.

Gerade das macht den Fall heikel. Eine exportierte Konfiguration enthält die Hashes von Passwörtern, die sich offline knacken lassen. Und ein lokal angelegtes Administratorkonto funktioniert weiter, auch wenn die SSO-Lücke längst geschlossen ist. Einer bestimmten Gruppe haben Fortinet und Arctic Wolf die Angriffe in ihren Veröffentlichungen nicht zugeordnet.

Was Sie jetzt tun sollten

  1. Aktualisieren. Spielen Sie für FortiOS mindestens 7.6.6, 7.4.11, 7.2.13 oder 7.0.19 ein, für FortiProxy die oben genannten Versionen. Prüfen Sie auch FortiManager, FortiAnalyzer, FortiWeb und FortiSwitchManager anhand des Advisorys.
  2. FortiCloud-SSO-Anmeldung prüfen. Brauchen Sie die Funktion nicht, schalten Sie sie unter System > Settings ab („Allow administrative login using FortiCloud SSO“) oder per CLI mit set admin-forticloud-sso-login disable unter config system global.
  3. Verwaltungszugang einschränken. Die Administrationsoberfläche sollte nicht frei aus dem Internet erreichbar sein. Fortinet empfiehlt einen getrennten Verwaltungszugang oder zumindest eine Local-in-Policy, die nur bekannte IP-Adressen zulässt.
  4. Logs und Konten prüfen. Suchen Sie nach SSO-Anmeldungen von unbekannten Konten, nach heruntergeladenen Konfigurationen und nach Administratorkonten, die niemand bewusst angelegt hat. Fortinet nennt in seinem Advisory Konten und IP-Adressen als Hinweise – die Namen haben sich während der Angriffe aber geändert, also prüfen Sie alle Konten.
  5. Im Verdachtsfall das Gerät und seine Konfiguration als kompromittiert behandeln: unbekannte Konten und VPN-Änderungen entfernen oder eine saubere Konfiguration einspielen und alle Zugangsdaten zurücksetzen – auch die von angebundenen LDAP- oder AD-Konten.

Was das für den Schutz von Firewalls bedeutet

Der Fall zeigt ein Problem, das die ganze Branche betrifft und nicht nur einen Hersteller: Die Firewall ist das Gerät, das das Netz schützen soll, und zugleich eines der lohnendsten Ziele darin. Jede Funktion, die von außen erreichbar ist – VPN-Portal, Verwaltungsoberfläche, Cloud-Anmeldung –, ist ein möglicher Einstieg. Und wie hier kann zwischen den ersten Angriffen und dem fertigen Patch eine Lücke von Tagen liegen, in der selbst sorgfältig gepflegte Geräte offen sind.

NetProtector ergänzt die Firewall an dieser Stelle um eine zusätzliche Ebene. Die Appliance wird vor der Firewall in die Leitung gesetzt und prüft den Traffic, bevor er die Firewall erreicht:

  • Bekannte Angreifer-Quellen bleiben draußen. Wer massenhaft Firewalls im Internet nach Schwachstellen abklopft, tut das selten nur bei einem Ziel. Adressen, die das NetProtector-Sensornetz bereits bei solchen Aktivitäten gesehen hat, werden gesperrt, bevor sie Ihr Gerät überhaupt ansprechen.
  • Ungewöhnliche Muster werden sichtbar. Systematische Scans nach Verwaltungsoberflächen, gehäufte Anmeldeversuche oder Zugriffe in einem Takt, den kein Mensch erzeugt, sind Anomalien, die NetProtector erkennt und meldet.
  • Mehr Spielraum bis zum Update. NetProtector schließt keine Lücke in der Firewall – das kann nur der Patch. Es verringert aber, wie viele Angreifer die Firewall in der kritischen Zeit zwischen Bekanntwerden und Update überhaupt erreichen.
Anomalien im Traffic – Muster über das Sensornetz
Normaler Traffic Anomalie im Traffic Sensorübergreifend erkanntes Muster

Wie NetProtector diese Muster erkennt und wie es sich ohne Umbau des Netzes zwischen Router und Firewall einfügt, zeigen wir auf der Seite So funktioniert NetProtector.

Unsere Einschätzung

Fortinet hat schnell und konsequent reagiert – die Cloud-Anmeldung kurzerhand für alle abzuschalten, war ein unbequemer, aber wirksamer Schritt. Lehrreich ist der Fall trotzdem: Komfortfunktionen wie eine Cloud-Anmeldung vergrößern die Angriffsfläche, oft ohne dass es jemandem bewusst ist. Und ein Update schließt die Lücke, räumt aber nicht auf, was Angreifer vorher hinterlassen haben. Gute Absicherung beginnt deshalb mit der Frage, welche Funktionen eine Firewall nach außen wirklich anbieten muss – und setzt sich fort mit zügigen Updates, der Kontrolle von Konten und Logs sowie einer Schutzschicht vor der Firewall, die Angreifer abfängt, bevor sie es überhaupt versuchen können.

Quellen