Die Web-Firewall FortiWeb lässt sich unter bestimmten Umständen mit einem frei erfundenen Benutzernamen und einem beliebigen Passwort öffnen. Fortinet hat den Fehler am 12. August zusammen mit sieben weiteren Hinweisen veröffentlicht. Der CVE-Eintrag bewertet ihn mit 9,8 von 10 Punkten. Betroffen sind alle Produktreihen von 7.0 bis 8.0.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Eine einzige Einstellung in der Anmelde-Konfiguration entscheidet darüber, ob Angreifer die FortiWeb-Lücke im eigenen Netz überhaupt nutzen können. Der Fehler trifft Betriebe, die ihre Administratoren zentral über einen RADIUS-Server anmelden, also gerade die gut organisierten.
Das Wichtigste in Kürze
- CVE-2026-26035 öffnet Oberfläche und Kommandozeile von FortiWeb für beliebige Zugangsdaten, sobald ein Platzhalter-Konto über eine Remote-RADIUS-Gruppe eingerichtet ist.
- Fortinets Advisory nennt 8,8 Punkte, der CVE-Eintrag 9,8.[4] Behoben ist der Fehler in FortiWeb 8.0.3, 7.6.7, 7.4.12 und 7.2.13.
- Zwei weitere Hinweise treffen FortiManager (CVE-2026-70468, Auftritt als verwaltete FortiGate) und FortiClient für Windows (CVE-2026-70465, fremder Code über DNS-Antworten).
- Angriffe auf die neuen Lücken nennt Fortinet bisher nicht. Sechs ältere Fortinet-Schwachstellen im CISA-Katalog umgehen ebenfalls die Anmeldung.
Wie kommt ein Fremder ohne Passwort in die Verwaltung?
Platzhalter-Konto. Ein Wildcard-Admin ist das einzige Fortinet-Konto, das ohne eigenes Passwort angelegt wird. Die Prüfung übernimmt der RADIUS-Server. Ohne eingetragenen Gruppennamen passt jeder dort hinterlegte Nutzer auf dieses eine Konto. Der Fehler hebelt genau diese Prüfung aus: Die Anmeldung akzeptiert einen frei gewählten Namen samt frei gewähltem Passwort, ohne dass der RADIUS-Server je zustimmt.[1]
Kein Standardfall. Eine frische Installation trifft der Fehler nicht, denn nötig sind die Remote-RADIUS-Anmeldung und der gesetzte Platzhalter. Diese Kombination ist in größeren Netzen üblich, weil niemand auf jeder Appliance eigene Konten pflegen möchte. Aus einer Schutzkomponente wird so ein Einfallstor, ein Muster, das im Juli schon Fortinets Analyse-Appliance FortiSandbox traf.
Warum wiederholt sich das Muster in der Fortinet-Verwaltung?
Bekanntes Protokoll. Der zweite Hinweis betrifft FortiManager und das FGFM-Protokoll, über das die Zentrale mit jeder verwalteten FortiGate spricht. Mit präparierten Anfragen gibt sich ein Angreifer als eines dieser Geräte aus.[2] Dieselbe Komponente stand im Oktober 2024 als „FortiJump“ in den Schlagzeilen, damals stahl die Gruppe UNC5820 über den fgfmd-Dienst Konfigurationsdaten und Passwort-Hashes.
Serie statt Zufall. Der CISA-Katalog aktiv ausgenutzter Schwachstellen führt 29 Fortinet-Einträge, 14 davon kamen seit Januar 2025 dazu.[3] Sechs dieser Einträge umgehen die Anmeldung, zuletzt der FortiCloud-Bypass vom Januar 2026. Wie teuer solche Altlasten werden, zeigte diese Woche die Gunra-Ransomware mit zwei längst geschlossenen Fortinet-Lücken.
Fortinet-Sicherheitshinweise vom 12. August 2026 und der Stand des CISA-Katalogs aktiv ausgenutzter Schwachstellen vom 14. August 2026.
Die drei ernstesten Lücken im Überblick
Sechs der 29 Fortinet-Einträge im CISA-Katalog umgehen die Anmeldung. Genau dieses Muster wiederholt sich jetzt in FortiWeb und FortiManager.
— Markus Seyfferth, Chefredakteur Dr. Web
Was müssen Betreiber in Deutschland jetzt tun?
Haftung der Chefetage. Für besonders wichtige und wichtige Einrichtungen verlangt § 30 BSIG wirksame Risikomaßnahmen, § 38 verpflichtet die Geschäftsleitung zur Umsetzung und lässt sie haften. Ein ungepatchtes Sicherheitsgerät am Netzrand ist damit eine Vorstandsfrage, wie schon die Haftungsfalle in der Produktionshalle gezeigt hat.
Vier Handgriffe. Prüfen Sie zuerst, ob auf Ihrer FortiWeb ein Wildcard-Admin mit Remote-RADIUS-Gruppe eingetragen ist. Tragen Sie dort einen Gruppennamen nach. Aktualisieren Sie danach FortiWeb, FortiManager und FortiClient. Die Verwaltungsoberfläche gehört außerdem hinter das VPN statt ins offene Internet, denn Aktualisieren allein reicht selten, wie der Rückstau bei 300 Microsoft-Lücken zeigt.
Notieren Sie jeden Schritt mit Datum, denn dieser Nachweis zählt gegenüber Aufsicht und Versicherung. Die strategische Einordnung liefert unser Überblick zur Cybersicherheit als Chefsache.
Quellen
[1] Fortinet PSIRT: „Broken access control in the RADIUS type admin group“ (FG-IR-26-158, CVE-2026-26035)
[2] Fortinet PSIRT: „FGFM Authentication Weakening via CLI Configuration“ (FG-IR-26-160, CVE-2026-70468)
[3] CISA: „Known Exploited Vulnerabilities Catalog“, Version 2026.08.14
[4] National Vulnerability Database: CVE-2026-26035, betroffene FortiWeb-Versionen und CVSS-Bewertung
Mehr Newshunger?
- Gunra-Ransomware: Zwei alte Fortinet-Lücken öffnen die Firewall
- Vom Schutzschild zum Einfallstor: Angreifer kapern Fortinets FortiSandbox
- Windchill-Lücke: Cl0p behauptet den Diebstahl von Konstruktionsdaten
- Vier Tage nach dem Patch: Angreifer umgehen ServiceNows Sandbox
- Rückstau bei 300 Sicherheitslücken: Microsoft kommt nicht mehr nach
