Fortinet behebt kritische Authentifizierungsfehler in FortiMonitorOnSight und der Chrome-Erweiterung

Fortinet hat Sicherheitsupdates für zehn Schwachstellen in seinem Produktportfolio veröffentlicht, darunter zwei kritische Fehler, die sich von Angreifern aus der Ferne ohne Authentifizierung ausnutzen lassen.

Die dringendsten Probleme betreffen das Webportal FortiMonitorOnSight und die Erweiterung Fortinet Privileged Access Agent für Google Chrome. Über die erste Schwachstelle können Angreifer durch gefälschte oder wiederverwendete JSON Web Tokens geschützte Portal-Funktionen offenlegen. Die zweite kann dazu führen, dass eine bösartige Website den Browser eines Opfers in einen Proxy für Datenverkehr verwandelt.

Das Unternehmen hat keine Hinweise auf eine Ausnutzung in freier Wildbahn gemeldet. Die Schwachstellen wurden im Rahmen von Fortinets Sicherheitsveröffentlichung am Dienstag bekannt gegeben und am 9. September 2026 gemeldet.

Gefälschte oder wiederverwendete JWTs können die Authentifizierung von FortiMonitorOnSight umgehen

Die als CVE-2026-84390 geführte Schwachstelle in FortiMonitorOnSight hat einen CVSS-Score von 9,6. Fortinet beschreibt die zugrunde liegende Schwäche als Offenlegung sensibler Informationen im Quellcode des Webportals.

Ein Angreifer aus der Ferne benötigt kein bestehendes Konto, um die Schwachstelle auszunutzen. Durch die Übermittlung eines gefälschten JSON Web Tokens oder die Wiederverwendung eines vom Programm akzeptierten Tokens könnte der Angreifer die Authentifizierungskontrollen des Portals umgehen.

JWTs enthalten üblicherweise signierte Claims, die einen Benutzer identifizieren und festlegen, auf welche Ressourcen dieser zugreifen darf. Ihre Sicherheit hängt von der korrekten Überprüfung der Signatur, dem sicheren Umgang mit dem Signaturschlüsselmaterial sowie von Kontrollen ab, die verhindern, dass abgelaufene oder bereits verwendete Tokens akzeptiert werden. In diesem Fall können die offengelegten Informationen die Erstellung oder Wiederverwendung eines Tokens ermöglichen, das die Prüfungen des Portals besteht.

Eine erfolgreiche Ausnutzung könnte unbefugten Zugriff auf geschützte Portal-Funktionen ermöglichen. Die verfügbaren Informationen geben nicht an, ob Angreifer dadurch administrative Rechte erlangen, Überwachungskonfigurationen ändern oder über das Portal verwaltete Systeme erreichen könnten.

Welche FortiMonitorOnSight-Versionen betroffen und welche korrigiert sind, wurde nicht offengelegt. Administratoren sollten daher vor der Bewertung, ob eine Bereitstellung gefährdet ist, das produktspezifische PSIRT-Advisory von Fortinet konsultieren.

Schwachstelle in Chrome-Erweiterung kann Datenverkehr über den Browser des Opfers umleiten

Die zweite kritische Schwachstelle, CVE-2026-84388, betrifft die Fortinet Privileged Access Agent Chrome extension und hat einen CVSS-Score von 9,1.

Ursache ist eine fehlerhafte Authentifizierung zwischen Komponenten, die an Vorgängen mit privilegiertem Zugriff beteiligt sind. Der Angriff beginnt, wenn ein Benutzer mit der betroffenen Erweiterung eine von einem Angreifer kontrollierte Website besucht. Der Angreifer kann aus der Ferne agieren und muss sich zuvor nicht an der Fortinet-Infrastruktur authentifizieren.

Ein erfolgreicher Angriff könnte dazu führen, dass der Browser-Datenverkehr des Opfers über einen vom Angreifer kontrollierten Pfad umgeleitet wird. Je nach vorhandenen Sicherheitskontrollen und Verschlüsselungsgrenzen kann dies das Beobachten des Datenverkehrs, die Manipulation von Anfragen oder die Veränderung von Daten ermöglichen, die den Browser passieren.

Für die Behebung sind Updates auf beiden Seiten der Integration erforderlich:

• FortiPAM auf Version 1.9.1 oder 1.8.4 aktualisieren.
• Die Fortinet Privileged Access Agent Chrome extension auf Version 8.0.1.123 oder höher aktualisieren.

Nur FortiPAM oder nur die Browser-Erweiterung zu aktualisieren, reicht nicht aus. Unternehmen sollten beide Versionsstände überprüfen und sich nicht ausschließlich auf den zentral ermittelten Patchstatus des Servers verlassen.

In verwalteten Chrome-Umgebungen kann die Bestandsverwaltung des Browsers genutzt werden, um veraltete Installationen der Erweiterung zu identifizieren. Sicherheitsteams sollten außerdem prüfen, ob automatische Updates für Erweiterungen aktiviert sind und ob Benutzer lokal installierte oder nicht verwaltete Kopien behalten können.

Schwachstellen in FortiSandbox und Agentless ZTNA haben gravierende Auswirkungen

Fortinet hat außerdem zwei schwerwiegende Schwachstellen in FortiSandbox sowie in den von FortiOS und FortiProxy bereitgestellten Agentless-ZTNA-Portalen behoben.

CVE-2026-26084 betrifft FortiSandbox und könnte zur Offenlegung sensibler Informationen führen. Die Schwachstelle hat einen CVSS-3.1-Score von 9,9 mit folgendem Vektor:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:H

Der Vektor zeigt, dass die Schwachstelle über das Netzwerk ausnutzbar ist, eine geringe Angriffskomplexität aufweist und weder Berechtigungen noch eine Benutzerinteraktion erfordert. Der Scope ist geändert, was bedeutet, dass die Ausnutzung eine Sicherheitsinstanz außerhalb der betroffenen Komponente beeinträchtigen kann. Die bewerteten Auswirkungen umfassen eine begrenzte Beeinträchtigung von Vertraulichkeit und Integrität sowie eine hohe Auswirkung auf die Verfügbarkeit.

Obwohl die Schwachstelle zusammen mit Fortinets Korrekturen mit hohem Schweregrad vorgestellt wurde, liegt ihr angegebener CVSS-Score nach der standardmäßigen CVSS-3.1-Bewertungsskala im kritischen Bereich. Welche FortiSandbox-Versionen betroffen und welche korrigiert sind, wurde nicht offengelegt.

Das andere Problem, CVE-2026-84393, betrifft das FortiOS and FortiProxy Agentless ZTNA portal. Es könnte Man-in-the-Middle-Angriffe ermöglichen und hat einen CVSS-Score von 8,1:

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Die Schwachstelle ist aus der Ferne erreichbar und erfordert weder Berechtigungen noch eine Benutzerinteraktion, auch wenn ihre Ausnutzung eine hohe Komplexität aufweist. Ein erfolgreicher Angriff könnte Vertraulichkeit, Integrität und Verfügbarkeit erheblich beeinträchtigen.

Eine Man-in-the-Middle-Situation in Verbindung mit einem ZTNA-Portal ist besonders relevant, da das Portal den Zugriff von Benutzern auf geschützte Anwendungen vermittelt. Die verfügbaren Details geben weder Aufschluss darüber, welcher Datenverkehr oder welche Authentifizierungsschritte abgefangen werden können, noch darüber, welche Voraussetzungen für die erforderliche Netzwerkposition erfüllt sein müssen.

Für CVE-2026-26084 oder CVE-2026-84393 wurden keine Informationen zu korrigierten Versionen bereitgestellt.

Sechs weitere Schwachstellen betreffen Fortinets Sicherheitsportfolio

Die verbleibenden Schwachstellen mit mittlerem und niedrigem Schweregrad betreffen eine breite Palette von Unternehmensprodukten:

• FortiManager
• FortiAnalyzer
• FortiSandbox
• FortiSOAR
• FortiClient for Windows
• FortiSIEM
• FortiOS
• FortiProxy
• FortiPAM

Je nach Produkt und Schwachstelle könnten Angreifer Genehmigungsprozesse umgehen, beliebigen Code ausführen, Broadcast-Nachrichten einschleusen, Benutzer auf vom Angreifer ausgewählte Websites umleiten oder Denial-of-Service-Zustände herbeiführen.

Weitere mögliche Auswirkungen sind die Beendigung von Prozessen und Abstürze des httpsd-Daemons. Auf Fortinet-Appliances kann ein Ausfall von httpsd die webbasierte Verwaltung oder einen anderen von diesem Daemon abhängigen Dienst unterbrechen, auch wenn das zugrunde liegende Gerät weiterhin betriebsbereit ist.

Die einzelnen CVE-Kennungen, betroffenen Releases und korrigierten Versionen dieser weiteren Schwachstellen wurden in den verfügbaren Informationen nicht offengelegt. Administratoren benötigen die PSIRT-Advisories von Fortinet, um jede Schwachstelle den in ihrer Umgebung installierten Produkt-Builds zuzuordnen.

Verteidiger sollten exponierte Portale und gekoppelte Updates priorisieren

Über das Internet erreichbare FortiMonitorOnSight-Instanzen sollten sofort überprüft werden, da CVE-2026-84390 aus der Ferne und ohne Zugangsdaten ausgenutzt werden kann. Bis die relevanten korrigierten Releases bestätigt und installiert sind, sollten Verantwortliche die unnötige Erreichbarkeit durch Netzwerkzugriffskontrollen oder andere vorhandene administrative Einschränkungen reduzieren.

Kunden von FortiPAM sollten die Upgrades des Servers und der Chrome-Erweiterung als eine gemeinsame Änderung behandeln. Bereitstellungsteams sollten bestätigen, dass FortiPAM mit 1.9.1 oder 1.8.4 betrieben wird und jede verwaltete Erweiterung 8.0.1.123 oder höher erreicht hat.

Zu den Überwachungsschwerpunkten gehören:

• Erfolgreiche Authentifizierungen im Zusammenhang mit ungewöhnlichen oder bereits beobachteten JWTs.
• Wiederholte Verwendung eines Tokens über verschiedene Adressen, Sitzungen oder User-Agents hinweg.
• Unerwartete Browser-Proxy-Konfigurationen oder nicht erklärte Änderungen an Datenverkehrspfaden.
• Verdächtige Verbindungen nach dem Besuch nicht vertrauenswürdiger Websites.
• Hinweise auf das Abfangen von Datenverkehr in Agentless-ZTNA-Sitzungen.
• Ungewöhnliche Zugriffe auf sensible Informationen in FortiSandbox.
• httpsd-Abstürze, die Beendigung von Prozessen oder nicht erklärte Dienstunterbrechungen.

Fortinet hat keine aktive Ausnutzung der zehn Schwachstellen gemeldet. Für diese Probleme wurden weder eine Aufnahme in den Katalog der bekannten ausgenutzten Schwachstellen von CISA noch eine zugehörige Frist zur Behebung oder eine Einstufung als im Zusammenhang mit Ransomware-Nutzung berichtet.