Automatisierte Angriffe auf FortiGate-Geräte seit Januar 2026 Neue Angriffswelle trifft Fortinet FortiGate über SSO-Schwachstelle

Seit Mitte Januar 2026 greifen Angreifer automatisiert Fortinet FortiGate-Geräte an und nutzen den SSO-Authentifizierungspfad für unautorisierte Konfigurationsänderungen. Sie erstellen generische Persistenzkonten, aktivieren VPN-Zugriff und exfiltrieren Firewall-Konfigurationen. Die Kampagne ähnelt Vorfällen aus dem Dezember 2025.

Die Sicherheitsexperten von Arctic Wolf verzeichneten seit 15. Januar 2026 unautorisierte Änderungen an Firewall-Konfigurationen auf Fortinet FortiGate-Geräten, die unter anderem die Erstellung generischer Konten zur dauerhaften Aufrechterhaltung des Zugriffs, Konfigurationsänderungen zur Ermöglichung eines VPN-Zugriffs für diese Konten sowie die Exfiltration von Firewall-Konfigurationen umfassen.

Parallelen zu früheren Angriffen über SSO

Auch wenn der Initialzugang bislang nicht abschließend geklärt ist, zeigen sich deutliche Ähnlichkeiten zu einer bereits im Dezember 2025 dokumentierten Cyberkampagne. Schon damals nutzten Angreifer den SSO-Authentifizierungspfad, um sich als Adminrechte zu verschaffen, Konfigurationen zu verändern und sensible Daten aus betroffenen Systemen abzuziehen. Die aktuellen Aktivitäten scheinen dieses Muster fortzuführen.

Aktive Angriffe auf FortiGate nutzen Schwachstellen in FortiCloud SSO

Angriff auf FortiGate-Firewalls über manipulierte SAML-SSO-Anmeldungen

Fortinet selbst hatte Ende 2025 auf zwei kritische Authentifizierungs-Bypass-Lücken hingewiesen, die es Cyberkriminellen ermöglichen, SSO-Mechanismen über manipulierte SAML-Nachrichten zu umgehen – vorausgesetzt, die FortiCloud-SSO-Funktion ist aktiviert. Mehrere Produktlinien waren davon betroffen, darunter FortiOS, FortiWeb und FortiProxy. Ob die aktuell beobachteten Angriffe vollständig durch die damaligen Patches verhindert werden, ist derzeit jedoch unklar.

„Es bestehen deutliche Parallelen zwischen den im Dezember 2025 und im Januar 2026 beobachteten schädlichen Aktivitäten auf FortiGate-Firewall-Geräten. In beiden Fällen wurde der SSO-Authentifizierungspfad genutzt, gefolgt von automatisierten Aktionen zur Erstellung generischer Benutzerkonten zur Etablierung eines dauerhaften Zugriffs. Auch die Exfiltration von Firewall-Konfigurationen ist in beiden Fällen zu beobachten“, erläutert Kerri Shafer-Page, Vice President of Digital Forensics and Incident Response bei Arctic Wolf, und fügt ergänzend hinzu: „Diese Kampagnen verdeutlichen, warum Edge-Geräte wie Firewalls und VPN-Gateways ein besonders attraktives Ziel für opportunistische Angriffe durch Bedrohungsakteure darstellen. Derlei Attacken stellen einen sich entwickelnden Trend dar, den wir in den vergangenen Jahren beobachtet haben und der sich nach unserer Einschätzung auch in absehbarer Zukunft weiter fortsetzen wird.“

3. kritische Schwachstelle in zwei Monaten

Neue SSO-Schwachstelle in FortiCloud wird aktiv ausgenutzt

Ungeklärter Angriffsvektor

Die Sicherheitslücke in den Fortinet-Lösungen ist besonders schwerwiegend, da Fortinet-Systeme als zentrale Netzwerkkomponenten in unzähligen Unternehmen eingesetzt werden. Erschwerend kommt hinzu, dass Kompromittierungen von Firewalls nicht nur einzelne Anwendungen, sondern potenziell die gesamte IT-Infrastruktur betreffen.

Firewalls als attraktives Ziel für automatisierte Angriffe

Die beobachteten Vorfälle unterstreichen einen Trend, der sich seit Jahren abzeichnet: Edge-Geräte wie Firewalls und VPN-Gateways sind für Angreifer besonders attraktive Ziele. Sie bieten einen zentralen Einstiegspunkt ins Netzwerk und werden zunehmend massenhaft und opportunistisch angegriffen. Sowohl die Kampagne vom Dezember 2025 als auch die aktuellen Beobachtungen folgen demselben Muster – inklusive automatisierter Folgeaktionen, generischer Persistenzkonten und dem Abzug sensibler Konfigurationsdaten.

Unternehmen sollten ihre Sicherheitsmaßnahmen rund um Netzwerkperimeter, Management-Zugänge und Authentifizierungsmechanismen kritisch überprüfen und aktuelle Bedrohungsentwicklungen engmaschig verfolgen.

Patch verfügbar

Forscher veröffentlichten PoC für kritische Fortinet-Sicherheitslücke

48-Stunden-Angriff zeigt Risiken ungepatchter Edge-Komponenten

So führte eine ungepatchte Firewall zur kompletten Netzwerkübernahme

(ID:50693196)