CISA warnt vor zwei neuen, aktiv ausgenutzten Schwachstellen in FortiOS und Arista VeloCloud

Einführung

Am 27. Juli 2026 hat die Cybersecurity and Infrastructure Security Agency (CISA) ihren Katalog der Known Exploited Vulnerabilities (KEV) aktualisiert und zwei neue Sicherheitslücken aufgenommen, für die bereits aktive Ausnutzung festgestellt wurde. Die Schwachstellen mit den Bezeichnungen CVE-2025-68686 und CVE-2026-16812 betreffen Fortinet FortiOS Systeme bzw. den Arista VeloCloud On-Premises Orchestrator. Die Aufnahme erfolgt im Rahmen der verbindlichen Betriebsanweisung BOD 26-04, die US-Bundesbehörden zur prioritären Behebung der im Katalog gelisteten Schwachstellen verpflichtet, insbesondere solcher, die nach erfolgreicher Ausnutzung die vollständige Kontrolle ermöglichen.

Technische Analyse

Die beiden CVEs unterscheiden sich hinsichtlich der Art der Schwachstelle, teilen jedoch die Gefährlichkeit einer aktiven Ausnutzung im Netzwerk.

• CVE-2025-68686 (Fortinet FortiOS): Hierbei handelt es sich um eine Offenlegung sensibler Informationen. Ein nicht autorisierter Angreifer kann die Schwachstelle ausnutzen, um auf kritische Daten des Geräts zuzugreifen und dabei Vertraulichkeitsmechanismen zu umgehen. Die Art der Schwachstelle deutet auf einen netzwerkbasierten Angriffsvektor hin, der keine vorherigen Anmeldedaten erfordert; die genauen technischen Details sind jedoch im offiziellen Fortinet-Security-Advisory enthalten.

• CVE-2026-16812 (Arista VeloCloud Orchestrator On-Prem): Hier liegt eine klassische Betriebssystem-Command Injection vor. Die unzureichende Bereinigung von Eingaben ermöglicht es einem Angreifer, beliebige Befehle einzuschleusen, wodurch potenziell eine Shell mit den Rechten der Anwendung erlangt und die gesamte Orchestrierungsplattform kompromittiert werden kann.

Laut CISA-Hinweis werden beide Schwachstellen bereits in realen Angriffen ausgenutzt, was deren Kritikalität erheblich erhöht – auch wenn zum Zeitpunkt der Veröffentlichung noch keine offiziellen CVSS-Bewertungen vorliegen.

Auswirkungen

Die Auswirkungen sind zweifach und schwerwiegend. Bei FortiOS kann der Verlust sensibler Informationen gezielte Folgeangriffe oder die Kartierung der Netzwerkinfrastruktur erleichtern. Im Fall des Arista VeloCloud Orchestrators ermöglicht die Command Injection die willkürliche Befehlsausführung und damit die vollständige Kompromittierung des Systems, das die gesamte SD-WAN steuert – dies gefährdet die Konnektivität und den Datenverkehr aller angebundenen Standorte. Beide Produkte werden umfassend in Unternehmen und Behörden eingesetzt, was die beobachtete bösartige Aktivität besonders besorgniserregend macht.

Maßnahmen und Empfehlungen

Die CISA verlangt von den zivilen US-Bundesbehörden (FCEB), die von den Herstellern bereitgestellten Patches innerhalb der vorgegebenen Fristen einzuspielen, und empfiehlt allen Organisationen einen sofortigen risikobasierten Ansatz. Zu den empfohlenen Maßnahmen gehören:

• Überprüfen Sie unverzüglich die eingesetzte Version von FortiOS und Arista VeloCloud Orchestrator.
• Spielen Sie die offiziellen, von Fortinet bzw. Arista veröffentlichten Updates gemäß den jeweiligen Sicherheitshinweisen ein.
• Falls ein Patch noch nicht verfügbar ist, sollten Sie die Isolierung exponierter Geräte oder die Anwendung restriktiver Netzwerkkontrollen in Betracht ziehen.
• Überwachen Sie Protokolle und Datenverkehr auf mögliche Ausnutzungsversuche anhand der von den Herstellern oder der CISA bereitgestellten Kompromittierungsindikatoren.

FAQ

1. Was ist der Known Exploited Vulnerabilities (KEV)-Katalog?
Der KEV-Katalog ist eine öffentliche, von der CISA geführte Liste, die Schwachstellen enthält, für die es Belege einer aktiven Ausnutzung in realen Angriffen gibt. Er dient als priorisierte Referenz für die Behebung, insbesondere für US-Bundesbehörden, die den gesetzlichen Vorgaben der BOD 26-04 unterliegen.

2. Die CVE-2025-68686 enthält die Jahreszahl 2025 – bedeutet das, sie war schon länger bekannt?
Die Jahreszahl in der CVE-Kennung ist Teil des Namens und spiegelt nicht zwingend das Jahr der Entdeckung oder Behebung wider; sie kann auf das Jahr der initialen ID-Vergabe verweisen. In diesem Fall hat die CISA keine Details zur Historie der Schwachstelle bekannt gegeben, jedoch erfolgt die Aufnahme in den KEV-Katalog unabhängig vom Alter der Lücke erst dann, wenn aktive Exploits beobachtet werden.

3. Was sollte eine Organisation tun, die VeloCloud einsetzt, aber noch keine Benachrichtigung vom Hersteller erhalten hat?
Die CISA-Meldung bestätigt, dass die Hersteller Handlungsempfehlungen bereitgestellt haben. Setzen Sie sich daher umgehend mit dem Arista-Support in Verbindung, überprüfen Sie die Version des Orchestrators und spielen Sie die Patches gemäß den offiziellen Verfahren ein. Bis dahin empfiehlt es sich, die Netzwerkexposition zu reduzieren, indem der administrative Zugriff auf vertrauenswürdige Netze beschränkt und detaillierte Protokollierung aktiviert wird.