Fortinet-Firewall unter aktiver Ausnutzung: Was KMU mit FortiGate jetzt tun müssen

Wenn der IT-Dienstleister anruft und fragt, welche FortiGate-Firmware gerade läuft, ist das kein Standardtermin. Im September und Oktober 2026 hat die US-Behörde CISA gleich drei Fortinet-Schwachstellen in ihren Known Exploited Vulnerabilities Catalog (KEV) aufgenommen. Die Aufnahme in den KEV ist keine theoretische Warnung: Sie bedeutet, dass CISA Belege für aktive Angriffe „in the wild" hat — also für Schwachstellen, die gerade in echten Netzen ausgenutzt werden.

Fortinet ist eine der meistgenutzten Firewall-Plattformen im deutschen Mittelstand. Wer FortiGate mit einer betroffenen FortiOS-Version betreibt, ist deshalb konkret betroffen — nicht nur möglicherweise. Dieser Artikel erklärt, welche drei Schwachstellen CISA gemeldet hat, was sie technisch bedeuten und welche Schritte jetzt priorisiert gehören.

Die drei bestätigten Fortinet-Lücken im Überblick

Alle drei Einträge stammen aus dem maschinenlesbaren CISA-KEV-Feed, abgerufen am 25. Oktober 2026. Ergänzend wurden die jeweiligen Fortinet-Advisories (FortiGuard PSIRT) am selben Tag direkt nachgeprüft.

Das Feld knownRansomwareCampaignUse steht bei allen drei auf „Unknown" — CISA hat keine bestätigte Ransomware-Kampagne zugeordnet, schließt sie aber auch nicht aus.

Was die Lücken konkret bedeuten — und warum der Unterschied zählt

CVE-2026-104286: Die gefährlichste der drei (FortiMail)

Laut FortiGuard PSIRT (Advisory FG-IR-26-175, veröffentlicht 01.10.2026) kombiniert diese Schwachstelle einen Path-Traversal-Fehler mit einer fehlerhaften NULL-Byte-Behandlung. Ein Angreifer kann darüber ohne Anmeldung beliebige Dateien auf das System schreiben — allein durch präparierte HTTP- oder HTTPS-Anfragen an das Web-Interface.

FortiMail ist ein Mail-Security-Gateway. Es steht in KMU-Umgebungen typischerweise direkt am Perimeter und nimmt eingehende E-Mails aus dem Internet entgegen. Das macht diese Lücke besonders kritisch: Es braucht kein gestohlenes Passwort und keinen Innentäter. Wer das FortiMail-Interface aus dem Internet erreichbar hat und auf einer betroffenen Version läuft, ist potenziell angreifbar.

Der CVSSv3-Score liegt bei 9.8 (AV:N/AC:L/PR:N/UI:N) — einer der höchsten Werte der Skala (Maximum 10.0): über das Netz, ohne Anmeldung, ohne Mitwirkung eines Nutzers.

Betroffene Versionen und Fixes (FG-IR-26-175):

CVE-2025-25249: Heap-Overflow im cw_acd-Dienst (FortiOS/FortiSwitchManager/FortiSASE)

Diese Lücke betrifft den Daemon cw_acd, der — nach fachlicher Einschätzung, nicht als Herstelleraussage — der CAPWAP-Steuerung für Access Points und Switches zuzuordnen ist. Ein Angreifer kann über speziell präparierte Pakete aus dem Netz unauthentifizierten Code ausführen lassen. Die KEV-Beschreibung nennt keine Authentifizierungsvorbedingung.

Der CVSSv3-Score laut Advisory FG-IR-25-084 (veröffentlicht 13.01.2026) beträgt 8.1 (AV:N/AC:H/PR:N/UI:N) — Remote-Ausführung ist möglich, der Angriff erfordert jedoch eine erhöhte Komplexität. Dass der Patch seit Januar 2026 verfügbar ist und CISA die Lücke erst im September 2026 in den KEV aufnahm, zeigt: Auf ungepatchten Geräten wird diese Schwachstelle aktiv ausgenutzt.

Betroffene Versionen und Fixes (FG-IR-25-084):

CVE-2025-61624: Path Traversal in der CLI (FortiOS/FortiPAM/FortiProxy/FortiSwitchManager)

Diese Lücke wird oft mit den anderen verwechselt — und das ist ein Fehler, weil die Vorbedingung grundlegend anders ist. Der Angreifer braucht einen bereits vorhandenen Admin-Zugang mit mindestens Read-Write-Rechten und CLI-Zugriff. Erst dann kann er über bestimmte CLI-Befehle beliebige Dateien schreiben oder löschen.

Das macht CVE-2025-61624 nicht harmlos, aber anders: Es ist keine Lücke, über die ein externer Fremder direkt einbricht. Sie ist relevant bei gestohlenen Admin-Zugangsdaten, bei Insider-Angriffen oder als zweiter Schritt nach einer Vorkompromittierung — etwa wenn ein Angreifer über CVE-2025-25249 Fuß gefasst hat und dann mit erhöhten Rechten operiert.

Der CVSSv3-Score laut Advisory FG-IR-26-122 (veröffentlicht 14.04.2026) liegt bei 6.0 (AV:L/AC:L/PR:H). Der Patch existiert seit April 2026; die KEV-Aufnahme am 16. Oktober 2026 belegt, dass auf Systemen ohne diesen Patch inzwischen Angriffe stattfinden.

Betroffene Versionen und Fixes (FG-IR-26-122):

Wichtiger Hinweis für FortiOS: Wer beide FortiOS-Lücken (CVE-2025-25249 und CVE-2025-61624) mit einem einzigen Update schließen will, braucht mindestens FortiOS 7.6.5 oder 7.4.10. Auf den Branches 7.2, 7.0 und 6.4 gibt es für CVE-2025-61624 keinen Fix im selben Branch — dort ist ein Versionswechsel zwingend. Fortinet stellt dafür das Upgrade-Tool unter docs.fortinet.com/upgrade-tool bereit.

Was ein kompromittiertes Perimetergerät für ein KMU bedeutet

Ein hypothetisches, aber realistisches Szenario: Ein mittelständisches Produktionsunternehmen betreibt eine FortiGate-Firewall und ein FortiMail-Gateway. Beide Geräte stehen seit über 18 Monaten auf demselben Firmware-Stand — der interne IT-Verantwortliche hat die Fortinet-Release-Notes nicht regelmäßig abonniert. Über CVE-2026-104286 schreibt ein Angreifer eine Webshell auf das FortiMail-System; von dort aus gewinnt er schrittweise Zugriff auf das interne Netz.

Dieses Szenario ist kein Konstrukt: CISA nimmt Schwachstellen nur dann in den KEV auf, wenn Angriffe belegt sind. Die wirtschaftlichen Folgen eines solchen Vorfalls umfassen mindestens drei Bereiche:

• Betriebsunterbrechung: Systeme müssen isoliert, untersucht und neu aufgebaut werden. Je nach Tiefe des Einbruchs dauert das Tage bis Wochen.
• DSGVO-Meldepflicht: Sobald personenbezogene Daten abgeflossen sind, gilt eine 72-Stunden-Meldepflicht an die zuständige Datenschutzaufsichtsbehörde (Art. 33 DSGVO). Die Frist beginnt mit dem Zeitpunkt, zu dem der Verantwortliche Kenntnis vom Vorfall erlangt.
• Reputationsschaden: Kunden, Partner und Lieferanten erwarten Transparenz. Ein schlecht kommunizierter Vorfall schadet langfristig mehr als der Angriff selbst.

Der priorisierte Handlungsplan für KMU

Die folgenden Schritte gelten unabhängig davon, ob gerade Anzeichen für einen Angriff vorliegen. Perimeter-Hygiene ist kein einmaliges Projekt, sondern Teil des laufenden IT-Systembetriebs.

Schritt 1: Firmware-Stand aller Fortinet-Geräte inventarisieren

Bevor gepatcht werden kann, muss bekannt sein, was überhaupt im Einsatz ist. Viele KMU haben mehr als ein Fortinet-Gerät: FortiGate als Firewall, FortiSwitch für das interne Netz, FortiMail für E-Mail-Filterung, FortiProxy als Web-Proxy. Jedes dieser Geräte läuft auf einer eigenen Firmware mit eigenem Patch-Stand.

Konkrete Vorgehensweise: Im FortiManager (sofern vorhanden) lässt sich der Firmware-Stand aller verwalteten Geräte zentral abfragen. Alternativ meldet die FortiGate-GUI unter System > Dashboard > Status die laufende Firmware-Version. Für FortiMail und FortiProxy gilt dasselbe Grundprinzip. Wer diese Abfrage für mehrere Geräte manuell durchführt, sollte das Ergebnis tabellarisch dokumentieren — mit Geräte-Hostname, Firmware-Version, Produktlinie und der Frage, ob der Branch ein verfügbares Update hat.

Schritt 2: Abgleich mit den Hersteller-Advisories

Mit der Inventarliste können die drei Advisory-Tabellen (FG-IR-26-175, FG-IR-26-122, FG-IR-25-084) direkt abgeglichen werden. Das Ergebnis ist pro Gerät entweder: „Patch verfügbar, Update möglich im selben Branch", „Branch-Wechsel erforderlich" oder „nicht betroffen". Diese Einstufung bestimmt den Aufwand.

Ein Branch-Wechsel bei FortiOS ist kein triviales Update: Er kann Konfigurationsanpassungen, Kompatibilitätsprüfungen für nachgelagerte Systeme (z. B. FortiSwitch, SD-WAN-Policys) und ein Wartungsfenster erfordern. Wer das unterschätzt und einfach auf eine neue Hauptversion drückt, riskiert kurzfristige Ausfälle.

Schritt 3: Management-Zugänge vom Internet trennen

Das Web-GUI und die CLI-Oberfläche von FortiGate und FortiMail sollten niemals direkt aus dem Internet erreichbar sein. Diese Empfehlung gilt grundsätzlich, gewinnt aber durch CVE-2026-104286 besonderes Gewicht: Eine unauthentifizierte HTTP-Anfrage reicht aus, um auf einem ungepatchten FortiMail-System Dateien zu schreiben.

Technisch bedeutet das: Den Verwaltungszugang auf ein dediziertes Management-Interface oder ein VPN zu beschränken und die entsprechenden Firewall-Policys zu prüfen, ob Port 443 oder 8443 für das Admin-Interface tatsächlich intern gebunden ist.

Schritt 4: Admin-Konten und Berechtigungen prüfen

CVE-2025-61624 setzt einen Admin-Zugang mit Read-Write-Rechten voraus. Das ist der Moment, um zu prüfen: Wie viele Konten haben auf den Fortinet-Geräten Admin-Rechte? Gibt es veraltete Service-Accounts? Sind Passwörter seit dem letzten Sicherheitsvorfall oder Mitarbeiterwechsel geändert worden?

Multi-Faktor-Authentifizierung (MFA) für FortiGate-Admin-Zugänge ist keine Premium-Option, sondern seit Jahren Standardempfehlung. Fortinet unterstützt MFA über FortiToken, RADIUS und SAML.

Schritt 5: Logging und Monitoring auf Anzeichen für Kompromittierung prüfen

Wer Geräte betreibt, die potenziell über CVE-2025-25249 (Heap-Overflow, seit Januar 2026 bekannt) angreifbar waren, sollte die Logs auf auffällige Muster prüfen: ungewöhnliche Verbindungsversuche, unerklärliche Konfigurationsänderungen, neue oder geänderte Admin-Accounts, unbekannte Prozesse oder Dateien im Filesystem. Auf FortiOS lässt sich das über diagnose debug crashlog read und die FortiGate-Logs (Event-, Traffic- und Security-Log) eingrenzen.

Ohne zentrale Log-Auswertung bleibt diese Prüfung lückenhaft. Wer kein SIEM betreibt, sollte zumindest die Logs des letzten Monats auf die genannten Indikatoren durchsuchen.

Was KMU typischerweise unterschätzen

„Wir haben doch eine Firewall — reicht das nicht?"

Eine Firewall schützt das Netz. Eine Firewall mit einer aktiv ausgenutzten Schwachstelle ist selbst ein Angriffsziel. Das ist kein Widerspruch, sondern eine Grundtatsache der IT-Sicherheit: Perimeter-Geräte sind exponiert, weil sie per Definition aus dem Internet erreichbar sein müssen. Sie stehen deshalb im Fokus von Angreifern, die genau wissen, dass ein Zugang zur Firewall den Zugang zum gesamten dahinterliegenden Netz bedeutet.

Die drei aktuellen Fortinet-Lücken sind kein theoretisches Risiko. CISA setzt Bundesbehörden unter Patches-in-drei-Tagen-Fristen — nicht weil die Behörde übervorsichtig ist, sondern weil die Evidenz für laufende Angriffe vorliegt.

„Ein Sicherheits-Audit bringt doch nichts Neues"

Das stimmt, wenn das Ergebnis ein generischer Bericht ohne Priorisierung ist. Es stimmt nicht, wenn das Audit konkret mit dem eigenen Inventar arbeitet: Welche Geräte laufen auf welcher Firmware? Welche sind direkt betroffen? Welche Schritte haben welchen Aufwand? Was lässt sich innerhalb von 48 Stunden umsetzen, was erfordert ein Wartungsfenster?

Dieser Unterschied — generische Warnung versus inventarbasierte Priorisierung — ist der eigentliche Wert einer externen Bestandsaufnahme. Besonders für KMU ohne eigene IT-Sicherheitsabteilung.

IT-Sicherheit in der Produktion und im Mittelstand: Perimeter ist nicht alles

Fortinet-Geräte sichern den Netzwerkrand. Was dahinter passiert, ist eine separate Frage. Wer nach der Prüfung und dem Patching der Fortinet-Infrastruktur weiterdenken will, sollte sich mit dem Thema IT-Sicherheit in der Produktion auseinandersetzen: Dort treffen OT- und IT-Netz aufeinander, und die Angriffsfläche wächst, je mehr Maschinendaten über IP-Protokolle übertragen werden.

Für den übergeordneten Rahmen — wie Bedrohungslagen bewertet, Backups organisiert und Mitarbeiter sensibilisiert werden — bietet unser Leitfaden zu Managed IT-Services für den Mittelstand eine strukturierte Einordnung, was externe Betreuung leisten kann und wann sie sich rechnet.

Wer seine gesamte IT-Sicherheitslage unabhängig von aktuellen Schwachstellen einschätzen möchte, findet in unserem Artikel zur IT-Sicherheit im Autohaus ein konkretes Branchenbeispiel — die Prinzipien (Inventar, Patch-Management, Zugangskontrolle, Logging) gelten branchenübergreifend.

Wie ein SWBS-Firewall-Sicherheitscheck abläuft

Der erste Schritt ist keine wochenlange Beauftragung, sondern eine strukturierte Bestandsaufnahme: Welche Fortinet-Geräte betreiben Sie, auf welchen Firmware-Ständen, mit welchen Zugangsregeln? Davon ausgehend gleichen wir Ihren Ist-Stand mit den aktuellen FortiGuard-PSIRT-Advisories und dem CISA-KEV ab — herstellerunabhängig, dokumentiert und mit klarer Priorisierung.

Das Ergebnis ist kein generischer Sicherheitsbericht, sondern ein konkreter Maßnahmenplan: was innerhalb von 24 bis 72 Stunden umzusetzen ist, was ein geplantes Wartungsfenster braucht und was strukturelle Veränderungen erfordert (z. B. MFA für Admin-Zugänge, Management-Interface-Absicherung, Log-Auswertung).

Der Check eignet sich auch dann, wenn Ihr internes IT-Team die Geräte grundsätzlich betreut, aber keine Kapazität hat, die Advisory-Lage strukturiert auszuwerten. Wir liefern die Einschätzung — Ihre Leute setzen um, oder wir unterstützen dabei.

Wann ein solcher Check nicht sinnvoll ist: Wenn Ihre Fortinet-Geräte bereits auf einem zentralen Patch-Management-System laufen, aktiv überwacht werden und Sie die aktuelle Firmware bereits als nicht betroffen eingestuft haben, brauchen Sie keinen externen Check. Der ist vor allem für Unternehmen relevant, bei denen Firmware-Stände unklar sind oder Patch-Zyklen länger als sechs Monate auseinander liegen.

Nächster Schritt: Firewall-Sicherheitscheck anfragen

Wenn Sie nicht sicher sind, auf welcher Firmware Ihre FortiGate-Geräte laufen — oder wenn Sie wissen, dass Updates schon länger ausstehen — ist jetzt der richtige Moment für eine strukturierte Bestandsaufnahme.

Sprechen Sie uns direkt an: Firewall-Sicherheitscheck anfragen — wir klären in einem ersten Gespräch, welche Geräte Sie betreiben, welche davon betroffen sind und was als nächstes zu tun ist. Unverbindlich, ohne Angebotsdruck.

Die IT-Sicherheit Ihrer Perimeter-Infrastruktur ist keine Frage der Größe, sondern der Sorgfalt. Drei bestätigte Schwachstellen mit aktivem Exploit-Nachweis sind ein konkreter Anlass — nicht für Panik, aber für eine klare Entscheidung.