Aktive Angriffe auf FortiGate nutzen Schwachstellen in FortiCloud SSO Angriff auf FortiGate-Firewalls über manipulierte SAML-SSO-Anmeldungen

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

FortiGate-Firewalls stehen unter aktivem Beschuss: Manipulierte SAML-Anmeldungen über FortiCloud SSO umgehen die Authentifizierung, ver­schaffen Angreifern Admin-Zugriff und ermöglichen den Download kompletter Konfigurationen aus FortiOS, FortiWeb, FortiProxy und Forti­Switch­Manager. Admins sollten FortiCloud SSO sofort deaktivieren und auf die bereitgestellten Patches aktualisieren.

Arctic Wolf Labs registriert seit dem 12.12.2025 gezielte Angriffe auf FortiGate-Appliances über bösartige SSO-Anmeldungen. Angesichts der bestätigten Ausnutzung stuft Arctic Wolf die Schwachstellen als hochrelevant für produktive Netzwerke ein.

Ausgangspunkt sind die Schwachstellen CVE-2025-59718 und CVE-2025-59719, die Fortinet bereits am 09.12.2025 mit einem CVSS-Score von 9.8 veröffentlicht hat. Beide Lücken erlauben eine Authentifizierungsumgehung über speziell präparierte SAML-Nachrichten, sofern FortiCloud SSO auf den Geräten aktiv ist.

Zero-Day-Sicherheitslücke in FortiWeb

Fortinet patcht Zero Day erst nach 6 Wochen

Lücken in FortiOS, FortiWeb, FortiProxy und FortiSwitchManager

Die Angriffe richten sich gegen Systeme aus mehreren Produktfamilien. Dazu zählen FortiOS, FortiWeb, FortiProxy und FortiSwitchManager. Fortinet weist darauf hin, dass FortiCloud SSO in den Werkseinstellungen deaktiviert ist. In vielen Umgebungen aktiviert die Registrierung über FortiCare im GUI diese Funktion jedoch automatisch, sofern Admins die entsprechende Option nicht explizit abschalten. Genau dieser Umstand bildet die Grundlage der beobachteten Angriffe.

Nach Auswertung von Arctic Wolf stammen die bösartigen SSO-Anmeldungen aus einer begrenzten Anzahl von Hosting-Netzen. Die Logdaten zeigen erfolgreiche Administrator-Anmeldungen über den SSO-Mechanismus, häufig direkt auf das Konto "admin". Unmittelbar nach dem Zugriff laden Angreifer die vollständige Systemkonfiguration über das Web-Interface herunter. Damit erhalten sie Zugriff auf sicherheitsrelevante Parameter, Zertifikate und gehashte Zugangsdaten.

Authentifizierungsumgehung

Neue Ransomware nutzt Zero-Day-Schwachstellen bei Fortinet aus

Arctic Wolf geht von nachhaltiger Gefährdung aus

Arctic Wolf geht davon aus, dass kompromittierte Konfigurationsdateien eine nachhaltige Gefährdung darstellen. Auch wenn Passwörter nicht im Klartext gespeichert sind, erlaubt eine Offline-Analyse bei schwachen Kennwörtern eine nachträgliche Kompromittierung. Zur Risikobegrenzung empfiehlt Arctic Wolf mehrere Maßnahmen. Nach festgestellten Anzeichen eines Missbrauchs sollten sämtliche Firewall-Zugangsdaten zurückgesetzt werden. Zusätzlich sollte der Zugriff auf Management-Schnittstellen strikt auf interne Netze begrenzt bleiben. Die Beobachtungen der vergangenen Jahre zeigen wiederkehrende Kampagnen, die gezielt Verwaltungsoberflächen von Firewalls und VPN-Gateways adressieren.

Updates verfügbar

Zentral bleibt das zeitnahe Update auf korrigierte Versionen der betroffenen Produkte. Fortinet stellt Fixes für alle unterstützten FortiOS-, FortiProxy-, FortiWeb- und FortiSwitchManager-Versionen bereit. Systeme mit FortiOS 7.6 benötigen mindestens Version 7.6.4, ältere Release-Zweige erfordern jeweils die von Fortinet angegebenen Patchstände. Produkte auf FortiOS 6.4 sowie FortiWeb 7.0 und 7.2 gelten nach aktuellem Stand als nicht betroffen.

Bis zur vollständigen Aktualisierung empfiehlt Fortinet die temporäre Deaktivierung der FortiCloud-SSO-Anmeldung. Die Abschaltung erfolgt über die Systemeinstellungen im GUI oder per CLI durch Deaktivierung der Option "admin-forticloud-sso-login".

Lesezugriff trotz Patch

Neue Angriffstechnik auf FortiGate-Systeme entdeckt

(ID:50663077)