Fortinet hat vier kritische Sicherheitslücken in FortiManager und FortiAnalyzer veröffentlicht, die ein Angreifer ohne Anmeldung ausnutzen kann. Gefunden hat sie nach Angaben des Herstellers die eigene Sicherheitsabteilung mit Anthropics KI-Modell Claude Mythos. Für die Zentrale, die ganze Firewall-Flotten steuert, gibt es nur in einem Fall eine Übergangslösung.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Fortinet hat am 10. November, dem angekündigten Patch-Day, die Einträge zu CVE-2026-126170, CVE-2026-126262, CVE-2026-126260 und CVE-2026-126261 veröffentlicht.[1] Der Hersteller bewertet sie mit 9,0 bis 9,8 von 10 Punkten als kritisch und kennt nach eigenen Angaben keine Angriffe darauf.
Das Wichtigste in Kürze
- Alle vier Lücken liegen in FortiManager und FortiAnalyzer, die Angreifer brauchen kein Konto, nur Zugriff auf den jeweiligen Dienst.
- Sicher sind laut Fortinet die Versionen 7.6.8, 7.4.12 und 7.2.13. In der Reihe 8.0 steht der Patch gegen die gefährlichste Lücke mit 8.0.3 noch aus.
- Nur für CVE-2026-126170 gibt es eine Übergangslösung: die JSON-Schnittstelle abschalten. Sie ist standardmäßig aus.
- Die Ports 514 (OFTP) und 541 (FGFM) gehören nicht ins offene Netz.
Warum ist die Verwaltungszentrale das lohnendste Ziel?
FortiManager verteilt Konfigurationen an viele Firewalls, FortiAnalyzer sammelt deren Protokolle. Mit der Zentrale in der Hand lassen sich auch die verwalteten Geräte verändern. Genau das war 2024 der Fall bei FortiJump (CVE-2024-47575): Laut Mandiant nutzten Angreifer den Dienst FGFM schon seit Juni, auf mehr als 50 Servern.[2] Die neue Lücke CVE-2026-126261 sitzt wieder in diesem Dienst. Sie erlaubt Befehle, bevor das Registrierungspasswort geprüft wird, und trifft laut Fortinet FortiManager bis 7.6.7, 7.4.5, 7.2.8 und 8.0.0.[1]
Neu ist die Herkunft. Alle vier Einträge nennen die Produktsicherheit von Fortinet als Entdecker, die jeweils Claude Mythos einsetzte, bei CVE-2026-126262 meldete zusätzlich das XOR-Team von JPMorgan Chase.[1] Schon im Oktober hatte Fortinet angekündigt, dass dieselben Werkzeuge Angreifern helfen, aus Patches binnen Stunden Exploits zu bauen. Wie schnell das geht, zeigt die VulnCheck-Auswertung zu den Mythos-Funden.
Die vier Einträge im Vergleich
| Kennung | Einfallstor | Wert | Behoben ab |
|---|---|---|---|
| CVE-2026-126170 | JSON-Schnittstelle, falls aktiviert | 9,8 | 7.6.8, für 8.0 steht 8.0.3 aus |
| CVE-2026-126262 | OFTP-Port, SQL-Injection | 9,3 | 7.2.13, 7.4.12, 7.6.8, 8.0.2 |
| CVE-2026-126260 | OFTP-Port, Server-Side Request Forgery | 9,0 | 7.4.12, 7.6.8, 8.0.1 |
| CVE-2026-126261 | FGFM-Port, nur FortiManager | 9,0 | 7.2.9, 7.4.6, 7.6.8, 8.0.1 |
Bewertungen und Versionen laut Fortinet-Einträgen vom 10. November. Angriffe sind nach Herstellerangaben nicht bekannt, ein Virtual Patch fehlt bei allen vier.
Für Betreiber heißt das: Die Reihe 8.0 ist der Sonderfall. Mit 8.0.2 bleibt nur die JSON-Lücke offen, gegen die das Sperren der Schnittstelle hilft.[1] Ältere Reihen sind vor ihr sicher, brauchen aber die Updates gegen die drei übrigen. Betrifft das Unternehmen die NIS2-Richtlinie, gehört der Umgang mit Schwachstellen zu den Pflichtmaßnahmen (Art. 21 Abs. 2).[4]
Eine Verwaltungszentrale gehört nie ans offene Netz. Steht sie dort, schützt die Firewall dahinter nichts mehr.
Michael Dobler, Herausgeber Dr. Web
Was sollten Fortinet-Betreiber jetzt tun?
- Version prüfen: Gleichen Sie FortiManager und FortiAnalyzer mit den Versionen aus der Tabelle ab und spielen Sie 7.6.8, 7.4.12 oder 7.2.13 ein.
- Ports sperren: OFTP (TCP 514) und FGFM (TCP 541) dürfen nicht aus dem Internet erreichbar sein. Eine Sperre der Weboberfläche genügt dafür nicht.[3]
- JSON-Schnittstelle abschalten: Setzen Sie bei 8.0.x in jedem Admin-Profil
set rpc-permit none, bis 8.0.3 erscheint. - Konfiguration sichern: Exportieren Sie sie vor dem Update und suchen Sie danach nach unbekannten Administratoren oder Geräten.
Agenturen und Dienstleister, die Firewalls für Kunden betreut, beginnen bei den Zentralen mit Zugang aus dem Internet. Wie ernst Angriffe auf Fortinet-Geräte zuletzt waren, zeigen FortiBleed und die gestohlenen Zugangsdaten.
FAQ: Sicherheitslücken in FortiManager und FortiAnalyzer
Welche Fortinet-Versionen sind sicher?
Laut Fortinet schließen 7.6.8, 7.4.12 und 7.2.13 alle vier Lücken, soweit die Reihe betroffen ist. In der Reihe 8.0 steht der Patch gegen CVE-2026-126170 mit Version 8.0.3 noch aus.
Werden die Sicherheitslücken schon ausgenutzt?
Nach Angaben von Fortinet vom 10. November 2026 sind keine Angriffe bekannt. Die Einträge erlauben aber das Ausführen nicht autorisierter Befehle ohne Anmeldung, deshalb sollten Updates zügig laufen.
Wie schalte ich die JSON-Schnittstelle ab?
In der Kommandozeile für jedes Admin-Profil set rpc-permit none setzen. Die Schnittstelle ist standardmäßig aus, die Maßnahme schützt nur vor CVE-2026-126170.
Quellen
4 Quellen anzeigenQuellen ausblenden
- Fortinet PSIRTFG-IR-26-219, FG-IR-26-276, FG-IR-26-274 und FG-IR-26-275, veröffentlicht am 10. November 2026, abgerufen am 11. November 2026
- Security AffairsFortiJump-Lücke seit Juni 2024 ausgenutzt (Bericht von Mandiant)
- Cyber Security NewsCritical Fortinet Flaws Expose FortiManager and FortiAnalyzer (Portangaben)
- EUR-LexRichtlinie (EU) 2022/2555 (NIS2), Art. 21
Mehr Newshunger?
- Fortinet schließt von KI gefundene Lücken, Details folgen erst am 10. November
- FortiBleed: FBI warnt vor 86.644 gekaperten Fortinet-Firewalls
- Kampagne gegen Fortinet und Palo Alto: Angreifer erbeuteten mehr als 70.000 Zugangsdaten
- Kritische Cisco-Sicherheitslücke: Schadsoftware liest die Schlüssel zwischen Firmenstandorten
- VulnCheck: Nur 2 von 442 Anthropic-CVEs werden ausgenutzt
- IBM will Claude Mythos in Concert Protect einbauen
