Läuft bei Ihnen FortiOS? So prüfen Sie Firmware-Stand und Betroffenheit

Die Firewall läuft seit zwei Jahren stabil. Niemand hat die Firmware angepasst, weil sich niemand beklagt hat. Dieses Bild ist typisch für viele mittelständische IT-Umgebungen — und es ist genau die Voraussetzung, unter der die CISA im Herbst 2026 gleich drei Fortinet-Schwachstellen in ihren Katalog bekannter, aktiv ausgenutzter Schwachstellen aufgenommen hat.

Dieser Artikel erklärt, wie Sie den laufenden FortiOS-Version-prüfen-Prozess strukturieren: Wo Sie den Firmware-Stand und den Build herausfinden, wie Sie die Ausgabe gegen die Fortinet-Advisories abgleichen, und warum neben FortiGate auch FortiMail und FortiProxy diesmal explizit auf dem Prüfstand stehen.

Was CISA im Herbst 2026 über Fortinet-Geräte sagt

Der CISA-Katalog „Known Exploited Vulnerabilities" (KEV) ist kein Frühwarnsystem — er dokumentiert Lücken, für die CISA Belege für aktive Ausnutzung vorliegen. Drei Fortinet-Einträge aus dem Jahr 2026 sind für den Mittelstand unmittelbar relevant:

Die CISA-Fristen lagen jeweils drei Tage nach der Aufnahme — das ist die Vorgabe für US-Bundesbehörden. Für deutsche KMU gilt diese Frist rechtlich nicht, sie zeigt aber die Einschätzung der Lage: Diese Lücken werden gerade ausgenutzt, nicht nur theoretisch diskutiert.

Wie gefährlich sind die drei Lücken konkret?

Die FortiMail-Schwachstelle CVE-2026-104286 (CVSS 9.8) ist die schwerste der drei. Ein Angreifer ohne jede Anmeldung kann über präparierte HTTP- oder HTTPS-Anfragen beliebige Dateien auf das System schreiben. FortiMail ist ein Mail-Security-Gateway, das typischerweise direkt am Perimeter steht — also aus dem Internet erreichbar ist. Ein CVSS-Wert von 9.8 bei fehlendem Authentifizierungserfordernis bedeutet: Wer FortiMail in einer betroffenen Version betreibt und das Web-Interface (auch nur versehentlich) ans Internet exponiert, ist angreifbar, ohne dass der Angreifer Zugangsdaten braucht.

CVE-2025-61624 (CVSS 6.0) setzt dagegen einen bereits vorhandenen Admin-Zugang mit mindestens Read-Write-Rechten voraus. Das ist eine andere Risikoklasse: Nicht jeder Angreifer aus dem Internet kann diese Lücke direkt nutzen. Sie ist dennoch relevant — gestohlene Admin-Zugangsdaten, kompromittierte Verwaltungsstationen oder Innentäter genügen als Vorbedingung. Dass Fortinet den Patch bereits im April 2026 bereitgestellt hatte und die Lücke trotzdem im Oktober 2026 als aktiv ausgenutzt gemeldet wird, zeigt: ungepatchte Geräte stehen monatelang offen.

CVE-2025-25249 (CVSS 8.1) ist ein Heap-based Buffer Overflow, der über speziell präparierte Netzwerkpakete ausgelöst werden kann. Die KEV-Kurzbeschreibung nennt keine Authentifizierungsanforderung. Der betroffene Dienst (cw_acd) gehört nach Einschätzung des Autors zur CAPWAP-Steuerungslogik für Access Points und Switches — was bedeutet, dass Geräte, die Access Points verwalten, eine zusätzliche Angriffsfläche bieten.

FortiOS Version prüfen: Die drei Wege zum Firmware-Stand

Bevor Sie irgendeinen Advisory-Abgleich durchführen können, brauchen Sie den exakten Firmware-Stand — nicht nur die Hauptversion, sondern Build-Nummer und Patch-Level. Alle drei Methoden liefern dieselbe Information, unterscheiden sich aber im Aufwand und in der Skalierbarkeit.

1. Web-GUI (FortiGate-Verwaltungsoberfläche)

Der einfachste Weg für einzelne Geräte. Nach dem Login erscheint auf dem Dashboard rechts oben oder im Widget „System Information" direkt die laufende FortiOS-Version im Format 7.4.9 build XXXX. Alternativ: System → Dashboard → System Information. Der Build-String ist entscheidend — zwei Geräte mit identischer Hauptversionsnummer können unterschiedliche Patches eingebaut haben.

Für den Advisory-Abgleich notieren Sie:

• Hauptversion (z. B. 7.4)
• Patch-Level (z. B. .9)
• Build-Nummer (z. B. build 2573)

2. CLI-Befehl get system status

Wer mehrere Geräte hat oder die Ausgabe weiterverarbeiten möchte, nutzt die CLI. Nach dem SSH-Login auf das Gerät:

get system status

Die Ausgabe enthält u. a.:

Version: FortiGate-100F v7.4.9,build2573,261015 (GA)

Hier sehen Sie auf einen Blick: Modell, FortiOS-Hauptversion, Patch-Level, Build-Nummer und Datum. Alternativ gibt diagnose sys fortiguard-service status ergänzende Informationen zu signierten Diensten.

Bei Umgebungen mit mehreren FortiGate-Geräten lässt sich dieser Befehl per Skript über die FortiGate REST API automatisiert auslesen — dann erhalten Sie ein strukturiertes Inventar aller Geräte statt einer manuellen Einzelabfrage.

3. FortiManager (zentrale Verwaltungskonsole)

Wer Fortinet-Umgebungen mit FortiManager betreibt, findet den Firmware-Stand aller verwalteten Geräte unter Device Manager → Managed Devices. Die Spalte „Firmware" zeigt die laufende Version; die Spalte „Latest Available" — sofern der FortiManager Zugang zu FortiGuard hat — zeigt, ob ein neueres Firmware-Release verfügbar ist.

FortiManager erlaubt außerdem, Firmware-Updates zentral auszurollen, ohne jeden Appliance-Login einzeln durchzuführen.

FortiMail und FortiProxy: Diesmal ausdrücklich einbeziehen

Ein typischer Fehler bei Firmware-Prüfungen: Man schaut auf die FortiGate und vergisst, dass FortiMail und FortiProxy eigene Firmware-Stände mit eigenen Advisory-Tabellen haben.

FortiMail läuft unter einer eigenen Firmware-Linie. Der Versionsstand ist ebenfalls über get system status im CLI oder über System → Dashboard im Web-GUI abrufbar. Das Format ist analog zu FortiOS: FortiMail v7.6.6,build....

FortiProxy folgt demselben Muster. CLI: get system status. GUI: System → Dashboard → System Information.

Beide Gerätetypen haben für die oben genannten CVEs eigene Versionsranges in den Advisories. Wer nur FortiOS prüft, übersieht potenzielle Betroffenheit dieser Systeme.

Advisory-Abgleich: So lesen Sie die Fortinet-Tabellen

Sobald Sie den Firmware-Stand jedes Geräts kennen, gleichen Sie ihn gegen das jeweilige FG-IR-Advisory ab. Fortinet veröffentlicht alle Advisories unter fortiguard.fortinet.com/psirt/FG-IR-XX-XXX. Die relevanten Advisories für die drei KEV-Einträge sind:

• FG-IR-26-175 → CVE-2026-104286 (FortiMail)
• FG-IR-26-122 → CVE-2025-61624 (FortiOS, FortiProxy, FortiPAM, FortiSwitchManager)
• FG-IR-25-084 → CVE-2025-25249 (FortiOS, FortiSwitchManager, FortiSASE)

Die Advisory-Tabellen listen für jeden Branch (Hauptversion) auf, welcher Versionsbereich betroffen ist und welche Version mindestens installiert sein muss, um die Lücke zu schließen. Hier die Kerndaten aus den verifizierten Advisories (Stand 25.10.2026):

FG-IR-26-175 — FortiMail (CVE-2026-104286, CVSS 9.8)

FG-IR-26-122 — FortiOS & FortiProxy (CVE-2025-61624, CVSS 6.0)

FG-IR-25-084 — FortiOS (CVE-2025-25249, CVSS 8.1)

Wichtige Konsequenz für FortiOS-Betreiber: Wer beide FortiOS-Lücken (CVE-2025-61624 und CVE-2025-25249) mit einem einzigen Update schließen will, braucht mindestens FortiOS 7.6.5 oder 7.4.10. Für die Branches 7.2, 7.0 und 6.4 existiert kein Fix im selben Branch für CVE-2025-61624 — dort ist ein Branch-Wechsel unumgänglich. Den empfohlenen Upgrade-Pfad stellt Fortinet unter docs.fortinet.com/upgrade-tool bereit.

Praxisbeispiel: Betroffenheitscheck für eine typische Mittelstands-Umgebung

Ein hypothetisches Beispiel, das den Ablauf illustriert: Ein Produktionsbetrieb mit 80 Mitarbeitern betreibt zwei FortiGate-Appliances (primäre Firewall + HA-Failover) auf FortiOS 7.4.7, eine FortiMail-Appliance auf Version 7.6.5 sowie einen FortiProxy auf 7.4.10.

Abgleich:

Ergebnis: Die beiden FortiGate-Geräte sind für beide FortiOS-Lücken offen. Das Upgrade-Ziel ist mindestens 7.4.10. Die FortiMail ist für CVE-2026-104286 in diesem Beispiel auf 7.6.5 — laut Advisory (fix ab 7.6.7) wäre auch diese Appliance betroffen, falls sie auf 7.6.0–7.6.6 liefe. Im Beispiel läuft sie auf 7.6.5, das heißt: betroffen, Update auf 7.6.7+ erforderlich. Der FortiProxy ist bereits auf einem Stand, der beide FortiProxy-Lücken schließt.

Dieses strukturierte Vorgehen — Inventar anlegen, Versions-String je Gerät notieren, zeilen- und spaltenweise gegen die Advisory-Tabellen abgleichen — lässt sich auch manuell in einer Tabelle führen. Bei fünf oder mehr Geräten wird der Aufwand jedoch schnell erheblich, und die Fehlerquote bei manuellen Abgleichen steigt mit der Anzahl der Geräte.

Was nach dem Versionscheck zu tun ist

Prüfen allein reicht nicht. Wer eine Betroffenheit festgestellt hat, muss die folgenden Schritte in einer sinnvollen Reihenfolge abarbeiten:

1. Management-Zugang sofort einschränken Bevor ein Update eingespielt wird: Trennen Sie das Web-GUI und den SSH-Zugang der Firewall vom offenen Internet. Nur Verwaltung aus dem internen Netz oder über VPN. Das reduziert die Angriffsfläche unabhängig vom Patch-Stand.

2. Admin-Konten und Berechtigungen prüfen CVE-2025-61624 setzt einen Admin-Account mit Read-Write-Rechten voraus. Prüfen Sie, welche Accounts diese Berechtigung haben und ob alle noch aktiv genutzt werden. Deaktivieren Sie ungenutzte Accounts und reduzieren Sie Berechtigungen auf das Minimum.

3. Firmware-Update einplanen und einspielen Laden Sie die Ziel-Firmware von support.fortinet.com (gültige Support-Lizenz erforderlich). Planen Sie ein Wartungsfenster — Firmware-Updates auf Firewalls erfordern in der Regel einen Neustart. Den Upgrade-Pfad prüfen Sie vorab mit dem Fortinet Upgrade Tool, weil direkte Sprünge über mehrere Branches nicht immer unterstützt werden.

4. Logs auf Auffälligkeiten prüfen Wenn ein Gerät wochen- oder monatelang in einem betroffenen Versionsstand betrieben wurde, sollten Sie die Firewall-Logs, Authentifizierungsprotokolle und System-Event-Logs vor und nach dem Update sichten. Konkret: unbekannte Admin-Sessions, ungewöhnliche CLI-Befehle, unbekannte Dateien im System-Dateisystem (falls zugänglich) und anomale Verbindungsmuster.

5. Nachweis dokumentieren Halten Sie Versions-Stand vor und nach dem Update, Datum des Updates und den Namen der Person fest, die es durchgeführt hat. Diese Dokumentation ist bei Versicherungsfällen, Audits oder Kundengesprächen relevant.

Wann eine externe Inventarisierung sinnvoll ist — und wann nicht

Die ehrliche Antwort: Wer eine FortiGate, eine FortiMail und einen FortiProxy betreibt und eigene IT-Kapazität hat, kann den Versionscheck und das Advisory-Monitoring selbst durchführen. Die oben beschriebenen CLI-Befehle und Advisory-Tabellen sind öffentlich zugänglich. Das kostet ein bis zwei Stunden bei dieser Umgebungsgröße.

Externe Unterstützung wird sinnvoll, wenn:

• Sie keinen vollständigen Überblick über Ihre Fortinet-Landschaft haben. In gewachsenen Netzwerken sind FortiSwitchManager, FortiSASE oder ältere FortiProxy-Instanzen manchmal nicht im zentralen Inventar erfasst — weil sie irgendwann in einem Nebenprojekt installiert wurden.
• Die Firmware-Stände erheblich veraltet sind. Wenn Geräte auf Branches wie 6.4 oder 7.0 laufen, bei denen Branch-Wechsel nötig sind, wird der Upgrade-Pfad komplex. Falsch durchgeführte Sprünge können Konfigurationen beschädigen oder VPN-Verbindungen unterbrechen.
• Sie das Monitoring dauerhaft nicht intern leisten können. Fortinet veröffentlicht regelmäßig neue Advisories. Wer keine Kapazität hat, sie systematisch zu beobachten und gegen den eigenen Gerätebestand abzugleichen, wird die nächste aktiv ausgenutzte Lücke wieder zu spät bemerken.

Bei SW Business Solutions führen wir für Kunden einen strukturierten Firmware-Inventar- und Abgleich durch: wir erfassen alle Fortinet-Geräte der Umgebung, lesen den Versions-String je Gerät aus, gleichen gegen die aktuellen Advisories ab und dokumentieren das Ergebnis in einem nachvollziehbaren Format. Das Ergebnis ist kein pauschales „Sie müssen updaten", sondern ein geräte- und CVE-genaues Bild, das als Grundlage für die Priorisierung von Wartungsfenstern dient.

Wenn Sie sich unsicher sind, ob Ihre Fortinet-Umgebung vollständig inventarisiert ist oder welche Ihrer Geräte konkret von den drei KEV-Einträgen betroffen sind, können Sie direkt einen Firmware-Check mit uns besprechen.

Das bleibt als Kern: Firmware prüfen, Advisory abgleichen, dokumentieren

FortiOS-Version zu prüfen ist kein einmaliger Vorgang. Die drei Schwachstellen, die CISA zwischen September und Oktober 2026 als aktiv ausgenutzt eingestuft hat, zeigen ein wiederkehrendes Muster: Fortinet-Perimetergeräte werden gezielt angegriffen, weil sie per Definition aus dem Internet erreichbar sind und weil Firmware-Updates in vielen Umgebungen keine standardisierte Routine haben.

Der Prüfprozess selbst ist technisch nicht aufwändig — get system status im CLI, Ausgabe gegen die FG-IR-Advisory-Tabelle halten, Ergebnis dokumentieren. Die Herausforderung liegt in der Vollständigkeit: FortiGate allein zu prüfen reicht nicht, wenn FortiMail, FortiProxy oder FortiSwitchManager in derselben Umgebung laufen. Und der einmalige Check reicht nicht, wenn die nächste Schwachstelle in drei Monaten kommt.

Eine strukturierte, dokumentierte Inventarisierung und ein regelmäßiger Advisory-Abgleich sind die Grundlage — nicht nur für Compliance-Gespräche, sondern dafür, dass ein einzelnes übersehenes Gerät nicht zum Einfallstor für den Rest des Netzwerks wird.

Wenn Sie wissen möchten, ob Ihre IT-Sicherheit in diesem Bereich Lücken hat, sprechen Sie uns an. Wir prüfen Ihre Fortinet-Geräte, liefern ein dokumentiertes Ergebnis und empfehlen konkrete nächste Schritte — ohne pauschale Upgrade-Empfehlungen, die an Ihrer tatsächlichen Umgebung vorbeigehen.

→ Firmware-Check beauftragen