Fortinet behebt kritische Schwachstellen in FortiWeb und FortiManager

Sicherheitsupdates für acht Schwachstellen

Fortinet hat Sicherheitsupdates für acht Schwachstellen in FortiWeb, FortiManager, FortiClientWindows, FortiOS und FortiSIEM veröffentlicht. Die Meldung wurde am 13. August 2026 veröffentlicht.

Die vier ausführlicher beschriebenen Schwachstellen betreffen die Authentifizierung, die Umgehung von Zugriffskontrollen, die Speicherverwaltung sowie die Anfälligkeit für Denial-of-Service-Angriffe. Hinweise auf eine aktive Ausnutzung in freier Wildbahn liegen nicht vor.

Die schwerwiegendsten Schwachstellen betreffen FortiWeb und FortiManager – zwei Komponenten, die häufig an strategischen Positionen eingesetzt werden: FortiWeb schützt Webanwendungen, während FortiManager die Verwaltung von FortiGate-Geräten zentralisiert.

FortiWeb: Administrativer Zugriff mit beliebigen Zugangsdaten

Die Schwachstelle CVE-2026-26035 hat einen CVSS-Score von 9.8 und ist als CWE-287, also als fehlerhafte Authentifizierung, klassifiziert. Der Vektor lautet:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Ein nicht authentifizierter Angreifer aus dem Netzwerk kann über die GUI oder CLI von FortiWeb auf das System zugreifen und dabei einen beliebigen Benutzernamen sowie ein beliebiges Passwort verwenden. Die potenziellen Auswirkungen betreffen die Vertraulichkeit, Integrität und Verfügbarkeit des Systems.

Der Angriff setzt jedoch eine nicht standardmäßige Konfiguration voraus. Für Administratorkonten muss die Option Wildcard aktiviert sein. In diesem Szenario kann FortiWeb jeden von einem Remote-Server übermittelten Benutzernamen dem Konto Remote User zuordnen.

Ist im Bereich Admin User Group eine Gruppe hinterlegt, überprüft das Gerät zusätzlich, ob die Gruppe des Remote-Benutzers mit der unter User > User Group > Admin Group konfigurierten Gruppe übereinstimmt. Diese Funktion, die ursprünglich die Verwaltung von Remote-Benutzern vereinfachen soll, kann dadurch zu einem unautorisierten administrativen Zugangsweg werden.

Betroffen sind folgende Versionen:

• FortiWeb 8.0.0–8.0.2
• FortiWeb 7.6.0–7.6.6
• FortiWeb 7.4.0–7.4.11
• FortiWeb 7.2.0–7.2.12
• FortiWeb 7.0.0–7.0.12

Fortinet hat das Problem in folgenden Versionen behoben:

• FortiWeb 8.0.3
• FortiWeb 7.6.7
• FortiWeb 7.4.12
• FortiWeb 7.2.13

Für den Zweig FortiWeb 7.0.x ist in den verfügbaren Informationen keine korrigierte Version angegeben. Wer nicht sofort aktualisieren kann, sollte die Wildcard-Einstellung für Administratorkonten deaktivieren.

FortiManager: Mögliche Identitätsübernahme von FortiGate-Geräten

Die zweite relevante Schwachstelle ist CVE-2026-70468. Sie ist als CWE-288 klassifiziert und ermöglicht die Umgehung der Authentifizierung über einen alternativen Pfad oder Kanal. Der CVSS-Score beträgt 8.1, der Vektor lautet:

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Betroffen sind FortiManager und FortiManager Cloud:

• FortiManager 7.6.1
• FortiManager 7.4.3–7.4.5
• FortiManager 7.2.5–7.2.9
• FortiManager Cloud 7.6.1
• FortiManager Cloud 7.4.3–7.4.5
• FortiManager Cloud 7.2.3–7.2.9

Die verfügbaren technischen Angaben beschreiben eine Umgehung der Authentifizierung sowie einen unzulässigen Zugriff auf Autorisierungskontrollen. Der konkrete Angriffsvektor bleibt jedoch unklar; außerdem enthält der Abschnitt zum verwendeten Pfad weiterhin einen Platzhalter.

Nach der operativen Beschreibung kann ein Angreifer aus dem Netzwerk ein von FortiManager verwaltetes FortiGate-Gerät imitieren. Voraussetzung für die Ausnutzung sind die Aktivierung einer bestimmten CLI-Option und der Besitz eines gültigen Zertifikats.

Diese Voraussetzungen erhöhen die Angriffskomplexität, was sich im Parameter AC:H des CVSS-Vektors widerspiegelt. Das Risiko für Infrastrukturen mit zentralisierter Verwaltung bleibt jedoch bestehen. Eine gefälschte Geräteidentität könnte Verwaltungsprozesse oder Vertrauensbeziehungen zwischen Komponenten manipulieren.

Für FortiManager und FortiManager Cloud wurden keine korrigierten Versionen angegeben. Administratoren sollten daher die PSIRT-Advisories von Fortinet prüfen und kurzfristig die erforderliche CLI-Option, gültige Zertifikate sowie die registrierten Geräte kontrollieren.

FortiClientWindows und Apache: Zwei unterschiedliche Risiken

Die Schwachstelle CVE-2026-70465 betrifft FortiClientWindows und ist als CWE-120 klassifiziert – ein Buffer Overflow, der durch das Kopieren von Daten ohne ausreichende Kontrolle der Eingabegröße entsteht. Der CVSS-Score beträgt 8.1:

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Betroffen sind folgende Versionen:

• FortiClientWindows 7.4.0–7.4.3
• FortiClientWindows 7.2.0–7.2.11

Ein nicht authentifizierter Angreifer, der in der Lage ist, die für das System bestimmten DNS-Antworten zu manipulieren oder zu erzeugen, kann speziell präparierte Pakete senden. Dadurch könnte beliebiger Code auf dem Host ausgeführt werden.

Der Vektor setzt eine hohe Angriffskomplexität voraus, erfordert jedoch weder eine Authentifizierung noch eine Benutzerinteraktion. Korrigierte Versionen und ein Workaround sind nicht angegeben.

Das Advisory umfasst außerdem CVE-2026-49975, die mit dem HTTP/2-Bomb-Angriff gegen den Apache HTTP Server in Verbindung steht. Die Schwachstelle hat einen CVSS-Score von 7.5:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Sie ist als CWE-789 und CWE-409 klassifiziert. Das Problem betrifft eine übermäßige Speicherzuweisung im Modul mod_http und kann durch bösartige HTTP-Anfragen einen Denial-of-Service verursachen.

Laut NVD sind folgende Produkte betroffen:

• Apache HTTP Server vor Version 2.4.68
• Debian Linux 11.0

Die Beschreibung nennt außerdem den Bereich Apache HTTP Server 2.4.17–2.4.67. Eine korrigierte Version, eine Abhilfemaßnahme oder eine Frist für die Aktualisierung werden nicht angegeben.

Weitere Produkte und der KEV-Kontext

Fortinet hat außerdem Schwachstellen mittlerer und niedriger Schwere in FortiWeb WAF, FortiOS und FortiSIEM behoben. Für diese Fehler liegen keine CVE-IDs, betroffenen Versionen oder korrigierten Releases vor.

Für die vier beschriebenen CVEs ist keine Aufnahme in den Katalog Known Exploited Vulnerabilities der CISA und keine zugehörige CISA-Frist angegeben. Das Fehlen gemeldeter Exploits in freier Wildbahn ersetzt jedoch nicht die Prüfung und Installation von Updates: FortiWeb kann administrative Schnittstellen direkt exponieren, während FortiManager verteilte Infrastrukturen steuert.

In den vergangenen 90 Tagen nahm der KEV-Katalog außerdem CVE-2026-34486 am 4. August 2026 und CVE-2022-0492 am 2. Juni 2026 für dieselben im Advisory-Kontext genannten Anbieter Debian und Apache auf. Diese Einträge belegen keine Ausnutzung der neuen Schwachstellen, zeigen jedoch, dass Komponenten desselben Ökosystems bereits Ziel offensiver Aktivitäten sein können.

Was Administratoren prüfen sollten

Die unmittelbare Priorität besteht darin, FortiWeb abhängig vom installierten Zweig mindestens auf Version 8.0.3, 7.6.7, 7.4.12 oder 7.2.13 zu aktualisieren. Wenn das Upgrade warten muss, sollte die Wildcard-Funktion für Administratorkonten deaktiviert werden.

Für FortiManager müssen die von der Schwachstelle betroffene CLI-Konfiguration, gültige Zertifikate sowie die Zuordnungen zwischen FortiGate-Geräten und der Managementplattform überprüft werden. Zusätzlich sollten ungewöhnliche Registrierungen oder administrative Aktivitäten untersucht werden.

FortiClientWindows-Systeme sollten gemäß den von Fortinet veröffentlichten korrigierten Releases aktualisiert werden. Für Apache HTTP Server und Debian sind die von den jeweiligen Maintainer-Teams bereitgestellten Updates einzuspielen, da in den verfügbaren Informationen keine korrigierten Versionen genannt werden.

Darüber hinaus sollten Sicherheitsteams folgende Bereiche untersuchen:

• Authentifizierungs- und Zugriffsprotokolle der FortiWeb-GUI und -CLI;
• Zuordnungen zwischen Remote-Benutzern und Administratorgruppen;
• Registrierungen und Identitätsübernahmen von FortiGate-Geräten;
• Auffälligkeiten bei den von Windows-Endpunkten empfangenen DNS-Antworten;
• ungewöhnliche HTTP-Anfragen und Spitzen beim Speicherverbrauch auf Apache-Servern.