Öffentlicher PoC-Exploit für kritische FortiSIEM-Schwachstelle ermöglicht Codeausführung ohne Authentifizierung

Die Forschenden von Horizon3.ai haben einen funktionierenden PoC-Exploit für die kritische Schwachstelle CVE-2026-106173 in Fortinet FortiSIEM veröffentlicht. Die Path-Traversal-Schwachstelle (Verzeichnis-Traversal) mit einem CVSS-Score von 9.4 ermöglicht es einem nicht authentifizierten Angreifer, beliebige Dateien im Dateisystem zu schreiben und so Remote Code Execution zu erreichen. Der verwundbare gRPC-Service ist über den TCP-Port 27918 ohne Authentifizierung und ohne Client-Zertifikat erreichbar, und das Vorhandensein eines öffentlichen Exploits macht ein Update zu einer dringenden Aufgabe für alle Organisationen, die FortiSIEM einsetzen. Wir haben bereits über diese Schwachstelle berichtet, als der Sicherheitshinweis von Fortinet veröffentlicht wurde – nun hat sich die Lage durch das Auftauchen eines fertigen Angriffswerkzeugs zugespitzt.

Mechanismus der Ausnutzung

Laut dem technischen Analysebericht von Horizon3.ai befindet sich die Schwachstelle im Handler QueryResultReq des gRPC-Services. Die Funktion SendQueryResult() nimmt den benutzerkontrollierten Parameter query-id entgegen und nutzt ihn zur Bildung des Dateipfads, ohne ihn ausreichend zu validieren. Der Angriff kombiniert zwei Techniken:

• Verzeichnis-Traversal – Sequenzen von ../ im Parameter query-id erlauben es, aus dem Zielverzeichnis auszubrechen und Daten an einem beliebigen Ort im Dateisystem zu schreiben.
• Null-Byte-Injektion – Das in query-id eingebettete Zeichen \0 veranlasst das Betriebssystem, es als String-Ende zu interpretieren. Dadurch wird der Suffix des Dateinamens abgeschnitten, den das Programm automatisch hinzufügt (Format result-<IP>-0-0-<id>.dat), und der Angreifer erhält die vollständige Kontrolle über den Namen der zu schreibenden Datei.

Nach Angaben von Horizon3.ai bleiben beim Überschreiben einer bestehenden Datei deren ursprüngliche Rechte und der Besitzer erhalten. Das ist entscheidend, um den Dateischreibzugriff in Codeausführung zu verwandeln: Ein Angreifer kann das Skript /opt/charting/redishb.sh überschreiben – ein Shell-Skript zur Redis-Zustandsprüfung, das im Minutentakt alle 60 Sekunden per cron ausgeführt wird. Auf diese Weise wird der schädliche Code innerhalb einer Minute nach dem Schreiben der Datei ausgeführt.

Betroffene Versionen

Laut der CNA-Beschreibung betrifft die Schwachstelle ein deutlich breiteres Spektrum an Versionen, als in einigen Nachrichtenquellen angegeben:

• FortiSIEM 7.5.0
• FortiSIEM 7.4.0 – 7.4.2
• FortiSIEM 7.3.0 – 7.3.5
• FortiSIEM 7.2.0 – 7.2.7
• FortiSIEM 7.1.0 – 7.1.9
• FortiSIEM 7.0.0 – 7.0.4

Wichtig: Das ursprüngliche Nachrichtenmaterial erwähnt nur Version 7.5.0 mit der Empfehlung, auf 7.5.1 zu aktualisieren, während der CNA-Eintrag eine erweiterte Matrix betroffener Versionen enthält. Vollständige Informationen über verfügbare Patches für jede Versionslinie sollten im offiziellen Sicherheitshinweis von Fortinet FG-IR-26-180 nachgelesen werden.

Status der Ausnutzung und Erkennung

Zum Zeitpunkt der Veröffentlichung ist ein öffentlicher PoC-Exploit verfügbar, allerdings sind keine bestätigten Fälle von Ausnutzung in realen Angriffen bekannt. Nach Angaben von Horizon3.ai enthalten die FortiSIEM-Anwendungslogs keine eindeutigen Spuren der Ausnutzung dieser Schwachstelle, was die Erkennung von Angriffen mit Standard-Monitoring-Mitteln erschwert.

Zur Überprüfung einer möglichen Kompromittierung empfiehlt Horizon3.ai, die folgenden Dateien zu prüfen:

• /opt/charting/redishb.sh – Redis-Checkskript, das per cron ausgeführt wird
• /opt/phoenix/bin/phLicenseTool

Es ist erforderlich, die Zeitstempel der Modifikation dieser Dateien zu prüfen und ihren Inhalt mit Referenzkopien zu vergleichen. Eine Änderung des Inhalts oder des Änderungsdatums ohne legitimes Update kann auf eine Kompromittierung hindeuten.

Empfehlungen

Angesichts des verfügbaren öffentlichen Exploits und der fehlenden Authentifizierung am verwundbaren Service hat das Update höchste Priorität, insbesondere für FortiSIEM-Deployments, bei denen der TCP-Port 27918 von außen erreichbar ist:

1. Aktualisieren Sie FortiSIEM auf eine gepatchte Version gemäß dem Sicherheitshinweis FG-IR-26-180. Für die 7.5.x-Linie auf Version 7.5.1 oder höher.
2. Beschränken Sie den Netzwerkzugriff auf den Port TCP/27918 mittels Firewall-Regeln. Dieser Port darf aus nicht vertrauenswürdigen Netzen nicht erreichbar sein.
3. Überprüfen Sie die Integrität der Dateien/opt/charting/redishb.sh und /opt/phoenix/bin/phLicenseTool auf unautorisierte Änderungen.
4. Führen Sie einen Audit der Netzwerkverbindungen zum Port 27918 in den Logs der Netzwerkinfrastruktur für den Zeitraum vor der Installation des Patches durch.

Diese Schwachstelle ist Teil einer Reihe kritischer Probleme in Fortinet-Produkten, die im Oktober 2026 aufgedeckt wurden. Zuvor haben wir bereits über die Umgehung der Authentifizierung in FortiSandbox (CVSS 9.6) und über SQL injection in FortiAnalyzer und FortiManager berichtet. Organisationen, die Produkte von Fortinet einsetzen, sollten eine umfassende Überprüfung der installierten Versionen der gesamten Produktpalette durchführen und sicherstellen, dass alle aktuellen Sicherheitshinweise umgesetzt wurden.