3. kritische Schwachstelle in zwei Monaten Neue SSO-Schwachstelle in FortiCloud wird aktiv ausgenutzt

Eine kritische Sicherheitslücke, die erneut die SSO-Anmeldung von Fortinets FortiCloud betrifft, wird aktiv ausgenutzt. Angreifer sind dadurch in der Lage, sich auf anderen Geräten anzumelden. Fortinet-Kunden sollten ihre Systeme dringend aktualisieren, um langfristige Risiken zu minimieren.

Die kritische Sicherheitslücke EUVD-2026-4712^* / CVE-2026-24858 sorgt derzeit für Unruhe bei Fortinet-Kunden. Denn diese Schwachstelle ermöglicht es Angreifern mit einem FortiCloud-Konto und einem registrierten Gerät, sich auf separaten Geräten anzumelden, die anderen Be­nutzern in FortiOS, FortiManager, FortiWeb, FortiProxy und FortiAnalyzer registriert sind. Be­dingung dafür ist, dass FortiCloud Single Sign-On (SSO) auf den Geräten aktiviert ist. Die Schwachstelle hat einen CVSS-Score von 9.4 und einen EPSS-Score von 16.45.

Zero-Day-Sicherheitslücke in FortiWeb

Fortinet patcht Zero Day erst nach 6 Wochen

Diese Fortinet-Produkte sind betroffen

Betroffen von EUVD-2026-4712 / CVE-2026-24858 sind die Produkte FortiOS, FortiManager, FortiAnalyzer, FortiProxy und FortiWeb. Die Schwachstelle erlaubt es Angreifern, einen al­ter­nativen Pfad oder Kanal zu nutzen, um sich Zugang zum System zu verschaffen, ohne die erforderliche Authentifizierung. Dem Sicherheitshinweis von Fortinet zufolge sind diese Versionen anfällig:

EUVD-2026-4712 / CVE-2026-24858 aktiv ausgenutzt

Akteure, die ein FortiCloud-Konto auf einem registrierten Gerät kompromittieren, können sich zudem auf Geräten anderer Konten anmelden, sofern die FortiCloud-SSO-Authentifizierung auf diesen Geräten aktiviert ist. Diese Funktion ist in den Werkseinstellungen deaktiviert. Re­gistriert ein Administrator das Gerät jedoch über die Benutzeroberfläche bei FortiCare, wird die FortiCloud-SSO-Anmeldung bei der Registrierung aktiviert, sofern der Administrator die Op­tion „Administrative Anmeldung über FortiCloud SSO zulassen“ auf der Registrierungsseite nicht deaktiviert hat.

Zwei FortiCloud-Konten sind dem Hersteller zufolge bereits kompromittiert worden. Diese wur­den am 22. Januar 2026 gesperrt. Am 26. Januar hat Fortinet FortiCloud SSO deaktiviert und am 27. Januar wieder so aktiviert, dass Anmeldungen über Geräte mit anfälligen Versionen nicht unterstützt werden, um seine Kunden vor diesem Risiko zu schützen. Erst mit der Installation auf die jeweils gepatchte Version können betroffene Kunden die SSO-Authentifizierung wieder nutzen. FortiManager Cloud, FortiAnalyzer Cloud und FortiGate Cloud sind davon nicht be­troffen. Auch Installationen mit einem benutzerdefinierten Identitätsanbieter für SSO anstelle von FortiCloud sind nicht betroffen. FortiSwitch Manager wird derzeit noch auf Anfälligkeiten hin untersucht.

Die CISA hat EUVD-2026-4712 / CVE-2026-24858 am 27. Januar 2026 in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen.

Rückblick 2025

20 Prozent mehr ausgenutzte Schwach­stellen im KEV-Katalog der CISA

Anhaltendes Risiko für FortiCloud-Konten

Zeitgleich warnt die US-Behörde, dass auch Fortinet-Kunden, die bereits die aktuellen Ver­sio­nen installiert haben, nach wie vor von EUVD-2026-4712 / CVE-2026-24858 betroffen sein könnten. Denn wie es scheint ist die SSO-Anmeldung bei FortiCloud ein fortlaufendes Sicher­heitsproblem. Fortinet hat nämlich bereits im Dezember 2025 zwei kritische Sicherheits­lücken im ForitCloud-SSO-Anmeldeprozess geschlossen: EUVD-2025-202198 / CVE-2025-59718 (CVSS-Score 9.1, EPSS-Score 2.27) und EUVD-2025-202191 / CVE-2025-59719 (CVSS-Score 9.1, EPSS-Score 0.08), die auf eine unzureichende Überprüfung der kryptografischen Signatur zurückgingen.

Aktive Angriffe auf FortiGate nutzen Schwachstellen in FortiCloud SSO

Angriff auf FortiGate-Firewalls über manipulierte SAML-SSO-Anmeldungen

Auf Fortinet-Geräten, die zum Zeitpunkt der Ausnutzung von EUVD-2026-4712 / CVE-2026-24858 bereits vollständig auf die neueste Version aktualisiert waren, um die Schwachstellen EUVD-2025-202198 / CVE-2025-59718 und EUVD-2025-202191 / CVE-2025-59719 zu beheben, stellte Fortinet die folgenden schädlichen Aktivitäten fest:

• Unbefugte Änderungen an der Firewall-Konfiguration auf FortiGate-Geräten

• Unberechtigte Erstellung von Benutzerkonten

• Unautorisierte Änderungen in der Konfiguration von virtuellen privaten Netzwerken (VPNs), die den Zugriff auf neue Konten ermöglichen

Outsourcing oder Inhouse-Lösung beim Patch Management

Lohnt sich Patch Management as a Service (PMaaS)?

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50695064)