CISA-Warnung Oktober 2026: Diese Fortinet-Lücken werden aktiv ausgenutzt

Stellen Sie sich vor, Ihre FortiGate-Firewall läuft seit Monaten ohne Firmware-Update. Der Alltag läuft, niemand meldet Probleme, und ein Patch-Fenster wurde noch nicht koordiniert. Genau in dieser Situation signalisiert der CISA-Katalog der US-amerikanischen Behörde für Cybersicherheit und Infrastruktur: Angreifer nutzen diese Lücken bereits aus — nicht theoretisch, sondern nachweislich in freier Wildbahn.

Zwischen dem 9. September und dem 23. Oktober 2026 hat CISA drei Schwachstellen in Fortinet-Produkten in seinen Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen. Die Aufnahme in den KEV-Katalog hat eine klare Definition: CISA verfügt über Belege für aktive Ausnutzung. Es geht nicht um Proof-of-Concept-Code in einem Labor, sondern um Angriffe, die stattfinden.

Dieser Artikel erklärt, welche drei Lücken aufgenommen wurden, welche Produkte und Firmware-Versionen betroffen sind, wie unterschiedlich schwer die jeweilige Angriffsvoraussetzung ist — und was Betreiber von Fortinet-Appliances im Mittelstand jetzt tun sollten.

Was der CISA-KEV-Katalog bedeutet — und was nicht

Der KEV-Katalog ist keine Prognose und keine Risikotheorie. Er ist das Ergebnis einer behördlichen Auswertung: CISA hat Belege gesammelt, dass eine Schwachstelle in echten Angriffen eingesetzt wird. Für US-Bundesbehörden sind KEV-Einträge mit verbindlichen Patch-Fristen verbunden; für private Unternehmen und KMU in Deutschland wirkt der Katalog als verlässliches Priorisierungssignal.

Drei Einträge für Fortinet-Produkte innerhalb von sechs Wochen — September bis Oktober 2026 — sind kein Zufall. Fortinet-Perimetergeräte, also FortiGate/FortiOS, FortiProxy, FortiMail und FortiSwitchManager, waren in diesem Zeitraum wiederholt Ziel aktiver Angriffe, was CISA mehrfach bestätigt hat.

Zum Feld knownRansomwareCampaignUse: Bei allen drei Einträgen steht dieser Wert auf „Unknown". Das bedeutet weder, dass Ransomware ausgeschlossen ist, noch dass CISA eine entsprechende Kampagne bestätigt hat. Es bedeutet lediglich, dass CISA zum Zeitpunkt der Aufnahme keiner bekannten Ransomware-Gruppe die Ausnutzung zugeordnet hat.

Die drei KEV-Einträge im Detail

Die folgende Tabelle fasst die zentralen Fakten aller drei Schwachstellen zusammen, wie sie im maschinenlesbaren KEV-Feed von CISA verzeichnet sind:

Die drei-Tages-Fristen, die CISA für US-Bundesbehörden setzt, illustrieren die eingeschätzte Dringlichkeit. Für Privatunternehmen sind diese Fristen nicht rechtsverbindlich — sie zeigen aber, wie ernst die Behörde die Lage bewertet.

CVE-2026-104286: Die gefährlichste der drei Lücken

Die FortiMail-Schwachstelle wurde am 1. Oktober 2026 in den KEV-Katalog aufgenommen und ist aus Sicht der Angriffsvoraussetzungen die kritischste der drei.

Wörtliche CISA-Kurzbeschreibung: „Fortinet FortiMail contains a path traversal and an improper neutralization of NULL byte vulnerability that may allow an unauthenticated attacker to write arbitrary files on the underlying system via crafted HTTP or HTTPS requests."

Ein Angreifer ohne jede Anmeldung kann über präparierte HTTP- oder HTTPS-Anfragen beliebige Dateien auf dem Untergrundssystem des FortiMail-Gateways schreiben. Das FortiGuard-Advisory FG-IR-26-175 bewertet die Lücke mit einem CVSS-v3-Score von 9.8 — dem höchsten Bereich der Skala — bei einem Angriffs-Vektor über das Netz, ohne Authentifizierung und ohne Nutzerinteraktion (AV:N/AC:L/PR:N/UI:N).

FortiMail ist ein Mail-Security-Gateway und steht in KMU-Netzwerken typischerweise am Perimeter: direkt erreichbar aus dem Internet. Genau das macht eine unauthentifizierte Lücke mit Schreibzugriff auf das Dateisystem so gefährlich — ein externer Angreifer benötigt keinen Fuß in der Tür, nicht einmal einen gültigen Benutzernamen.

Betroffene FortiMail-Versionen und Patches

Für FortiMail 7.2 gibt es keinen Patch im gleichen Branch. Wer noch auf 7.2 läuft, muss einen Versionswechsel planen.

CVE-2025-61624: Patch seit April — und trotzdem aktiv ausgenutzt

Dass ein Patch seit April 2026 verfügbar ist und die Lücke trotzdem am 16. Oktober in den KEV-Katalog aufgenommen wurde, zeigt das eigentliche Problem im Mittelstand: nicht fehlende Patches, sondern fehlende Patch-Prozesse.

Wörtliche CISA-Kurzbeschreibung: „FortiOS, FortiPAM, FortiProxy, and FortiSwitchManager contain a path traversal vulnerability that may allow an authenticated attacker with admin profile and at least read-write permissions to write or delete arbitrary files via specific CLI commands."

Diese Lücke setzt einen vorhandenen Admin-Zugang mit Schreibrechten voraus. Sie ist damit keine klassische „Internet-Fremder-übernimmt-die-Firewall"-Lücke. Relevant ist sie bei gestohlenen Admin-Zugangsdaten, Innentätern oder nach einer Vorkompromittierung des Systems. Den Unterschied zu CVE-2026-104286 sollte man nicht verwischen: wer keine Angreifer im Admin-Kontext hat, ist durch diese Lücke allein schwerer direkt zu treffen — aber in einer Angriffskette ist der vorhandene Admin-Zugang oft das Resultat eines anderen, vorgelagerten Angriffs.

Das FortiGuard-Advisory FG-IR-26-122 (veröffentlicht 14. April 2026) bewertet die Lücke mit CVSS v3 6.0 (AV:L/AC:L/PR:H) — lokaler Angriff, hohe Rechtevoraussetzung.

Betroffene Versionen und Patches

Für FortiOS bedeutet das: Wer beide FortiOS-Lücken (CVE-2025-61624 und CVE-2025-25249) schließen will, braucht mindestens 7.6.5 oder 7.4.10. Auf den Branches 7.2, 7.0 und 6.4 gibt es für CVE-2025-61624 keinen Fix innerhalb des gleichen Branches — dort ist ein Versionswechsel erforderlich. Den Upgrade-Pfad stellt Fortinet unter https://docs.fortinet.com/upgrade-tool bereit.

CVE-2025-25249: Heap-Overflow ohne Authentifizierungsvorbedingung

Diese Lücke wurde bereits am 9. September 2026 aufgenommen — als erste der drei — und betrifft FortiOS, FortiSwitchManager und FortiSASE.

Wörtliche CISA-Kurzbeschreibung: „Fortinet FortiOS, FortiSwitchManager, and FortiSASE contain a heap-based buffer overflow vulnerability allowing attackers to execute unauthorized code via specially crafted packets."

Die CISA-Kurzbeschreibung nennt keine Authentifizierungsvorbedingung. Das FortiGuard-Advisory FG-IR-25-084 (veröffentlicht 13. Januar 2026) bewertet die Lücke mit CVSS v3 8.1 (AV:N/AC:H/PR:N/UI:N) — Netzwerkangriff, ohne Anmeldung, aber mit hoher Angriffskomplexität. Der betroffene Dienst ist der cw_acd-Daemon, der nach Einschätzung — nicht als Herstelleraussage — zur CAPWAP-Steuerung für Access Points und Switches gehört.

Betroffene Versionen und Patches

Ein hypothetisches Ablaufbeispiel: Was passiert, wenn FortiMail ungepatcht bleibt?

Nehmen wir ein mittelständisches Produktionsunternehmen mit 80 Mitarbeitenden, das FortiMail 7.6.5 als Mail-Security-Gateway einsetzt — eine Version, die laut Advisory für CVE-2026-104286 verwundbar ist. Das Gerät ist aus dem Internet über Port 443 erreichbar, weil das Web-Interface für den Administrator aktiviert ist.

Ein Angreifer sendet präparierte HTTPS-Anfragen an das Management-Interface. Da die Lücke keine Anmeldung erfordert, schreibt er eine Webshell oder ein Konfigurations-Backdoor in das Dateisystem des Gateways. Von dort aus hat er Zugriff auf alle E-Mails, die durch das Gateway laufen — inklusive potenziell sensibler Lieferanten- oder Kundenkommunikation.

Das Szenario ist hypothetisch, aber es beschreibt genau den Angriffspfad, den die CISA-Kurzbeschreibung dokumentiert: unauthentifiziert, via HTTP/HTTPS, beliebige Dateien schreiben. Der Unterschied zu einem realen Vorfall ist ein eingespielter Patch.

Was KMU mit Fortinet-Geräten jetzt tun sollten

Die drei KEV-Einträge betreffen unterschiedliche Produkte und Angriffsvektoren. Die Priorität bei der Reaktion sollte sich daran orientieren.

Schritt 1 — Betroffenheit feststellen

Inventarisieren Sie, welche Fortinet-Produkte Sie betreiben: FortiMail, FortiOS/FortiGate, FortiProxy, FortiPAM, FortiSwitchManager, FortiSASE. Erfassen Sie für jedes Gerät den aktuellen Firmware-Stand. Vergleichen Sie diesen mit den betroffenen Versionsbereichen aus den Advisory-Tabellen oben.

Schritt 2 — Dringlichkeit nach Angriffsvektor priorisieren

CVE-2026-104286 (FortiMail, unauthentifiziert, CVSS 9.8) hat die höchste Priorität, weil kein Admin-Zugang für einen Angriff benötigt wird. Wenn Ihr FortiMail aus dem Internet erreichbar ist und in einem betroffenen Versionsstand läuft, handeln Sie zuerst hier.

CVE-2025-25249 (FortiOS, kein Auth genannt, CVSS 8.1) ist die zweite Priorität. Die höhere Angriffskomplexität (AC:H) senkt die CVSS-Bewertung, schließt aber eine Ausnutzung nicht aus — CISA hat Belege für aktive Ausnutzung.

CVE-2025-61624 (authentifiziert, Admin-Rechte, CVSS 6.0) setzt einen kompromittierten Admin-Kontext voraus. Wenn Sie Ihre Admin-Zugangsdaten für sauber halten und Multi-Faktor-Authentifizierung aktiviert haben, ist das Restrisiko kurzfristig geringer — aber der Patch ist seit April verfügbar und sollte nicht weiter hinausgezögert werden.

Schritt 3 — Patches einspielen oder Versionswechsel planen

Für Geräte mit einem Patch im gleichen Branch: Update auf die in den Advisories angegebenen Zielversionen. Für Geräte auf nicht mehr gepatchten Branches (FortiOS 7.2/7.0/6.4 für CVE-2025-61624; FortiMail 7.2 für CVE-2026-104286): Upgrade-Pfad über das Fortinet Upgrade Tool planen.

Schritt 4 — Management-Zugang vom Internet trennen

Unabhängig von Patches gilt als sofortige Risikominimierung: Web-GUI und CLI-Zugang für Fortinet-Geräte sollten nicht aus dem offenen Internet erreichbar sein. Zugang über VPN oder dediziertes Management-Netz. Das reduziert die Angriffsfläche für unauthentifizierte Lücken wie CVE-2026-104286 erheblich, auch wenn der Patch noch nicht eingespielt ist.

Schritt 5 — Admin-Konten und Rechte prüfen

Für CVE-2025-61624 gilt: überprüfen Sie, wie viele Konten tatsächlich Admin-Profile mit Read-Write-Rechten haben. Reduzieren Sie die Zahl auf das Minimum. Prüfen Sie, ob Multi-Faktor-Authentifizierung für Admin-Zugänge aktiviert ist.

Schritt 6 — Logs auf Anomalien auswerten

Auch wenn ein Angriff bisher nicht festgestellt wurde, lohnt eine Auswertung der Logs rückwirkend: ungewöhnliche HTTP/HTTPS-Anfragen gegen FortiMail, unerwartete CLI-Befehle mit Admin-Konten, auffällige ausgehende Verbindungen vom Perimeter-Gerät. Die KEV-Aufnahme signalisiert, dass Angriffe stattfinden — der eigene Logfile ist der nächste Kontrollpunkt.

Was die Häufung im September und Oktober 2026 zeigt

Drei KEV-Einträge für Fortinet in sechs Wochen folgen einem Muster, das bei populären Netzwerkgeräten immer wieder auftritt: Ein Produkt, das weit verbreitet ist und am Perimeter steht, zieht konzentrierte Angriffsaufmerksamkeit auf sich. Fortinet ist eine der meistgenutzten Firewall-Plattformen im Mittelstand.

Das erklärt auch, warum CISA für CVE-2025-61624 erst im Oktober die KEV-Aufnahme vorgenommen hat, obwohl der Patch seit April verfügbar war: Offenbar liefen die Angriffe auf ungepatchte Systeme an, nachdem der Patch — und damit das öffentliche Wissen um die Lücke — ausreichend Zeit gehabt hatte, sich zu verbreiten. Patch-Informationen sind für Angreifer genauso öffentlich wie für Verteidiger.

Wer Fortinet-Produkte betreibt, sollte die CISA-KEV-Seite sowie die FortiGuard PSIRT-Seite als feste Kontrollquellen in den eigenen IT-Betrieb integrieren — nicht als einmalige Reaktion auf eine Warnung.

Betroffenheit bewerten lassen: Was dabei geprüft wird

Viele KMU haben keinen vollständigen Überblick darüber, welche Firmware-Version auf welchem ihrer Fortinet-Geräte läuft — insbesondere wenn mehrere Standorte, Switches und Proxy-Instanzen hinzukommen. Das ist kein Versäumnis, sondern eine strukturelle Situation, die in Unternehmen ohne dedizierte IT-Security-Abteilung häufig vorkommt.

Im Rahmen einer Betroffenheitsanalyse prüft SW Business Solutions konkret:

• Welche Fortinet-Produkte in Ihrem Netz aktiv sind
• Welchen Firmware-Stand diese haben
• Ob und in welchem Versionsbereich sie laut den Advisories FG-IR-26-175, FG-IR-26-122 und FG-IR-25-084 von einer oder mehreren der drei Lücken betroffen sind
• Ob das Management-Interface aus dem Internet erreichbar ist
• Welche Admin-Konten mit welchen Rechten konfiguriert sind
• Welcher Patch-Pfad für Ihr konkretes Gerät und Ihren Branch gilt

Das Ergebnis ist eine klare Aussage: betroffen oder nicht, und wenn ja — mit welchem Angriffsvektor und welchem Patch. Keine allgemeine Sicherheitsberatung, sondern eine Zuordnung Advisory → Ihr Geräte- und Firmware-Stand.

Wenn Sie sich nicht sicher sind, ob eines Ihrer Geräte in einem betroffenen Versionsstand läuft, ist das der sinnvollste nächste Schritt.

Betroffenheit prüfen lassen — nehmen Sie Kontakt zu SW Business Solutions auf. Wir werten Ihren Fortinet-Bestand gegen die aktuellen CISA-KEV-Einträge und FortiGuard-Advisories aus und geben Ihnen eine klare Handlungsempfehlung.

Für Unternehmen, die Fortinet-Geräte in einem größeren IT-Kontext betreiben — zusammen mit Managed Services, Netzwerk-Monitoring oder laufender Systembetreuung — bietet sich ein Blick auf unsere Managed IT-Services für den Mittelstand an: strukturierte Patch-Prozesse, regelmäßige Auswertung von KEV-Einträgen und direkter Ansprechpartner, wenn eine Warnung wie diese erscheint.

Weiterführende Kontextinformationen zu IT-Sicherheit in der Produktion und im Mittelstand finden Sie auch in unserem Artikel zu IT-Sicherheit in der Produktion.