Fortinet hat den Sicherheitshinweis FG-IR-26-186 veröffentlicht, in dem das Unternehmen über die Untersuchung der Auswirkungen einer kritischen Schwachstelle im PHP-Kern – CVE-2026-109618 – auf seine Produktpalette informiert. Die Schwachstelle wurde mit einem CVSSv3-Score von 9.8 bewertet und als kritisch eingestuft. Sie ermöglicht einem nicht authentifizierten Angreifer Remote Code Execution (RCE) durch Manipulation der Behandlung von Out-of-Memory-Fehlern. Zum Zeitpunkt der Veröffentlichung des Hinweises befinden sich 12 Fortinet-Produkte in der Untersuchungsphase, 12 weitere gelten als nicht betroffen. Konkrete betroffene Versionen und Patches sind im verfügbaren Material des Hinweises nicht angegeben.
Mechanismus der Schwachstelle
Nach Angaben von Fortinet steht CVE-2026-109618 damit in Zusammenhang, wie PHP die Funktion longjmp() zur Behandlung von Out-of-Memory-Fehlern (OOM – out-of-memory) verwendet. Tritt ein OOM-Fehler auf, führt PHP einen Sprung aus dem aktuellen Kontext aus und bricht die Verarbeitung der Anfrage ab. Das Problem besteht darin, dass einige Kontexte dieses Szenario nicht korrekt berücksichtigen: Der Speicherbereich der Anfrage verbleibt nach dem Allokationsversuch in einem nicht initialisierten Zustand. Das anschließende Bereinigungsverfahren für die Anfrage liest diesen Speicher oder trifft auf seiner Grundlage Entscheidungen. Mehrere Strategien zur gezielten Herbeiführung eines OOM-Zustands ermöglichen es, diesen Zustand stabil zu reproduzieren und die Ausführung beliebigen Codes zu erreichen.
Die wichtigsten Merkmale der Schwachstelle laut Fortinet:
- CVE ID: CVE-2026-109618
- CVSSv3: 9.8 (Critical)
- Angriffstyp: ohne Authentifizierung
- Auswirkung: Ausführung nicht autorisierten Codes oder nicht autorisierter Befehle
- Ursprung: Drittanbieter-Bibliothek (PHP)
- Bekannte Ausnutzung: laut Fortinet zum Zeitpunkt der Veröffentlichung nicht beobachtet
Die Überschrift des Sicherheitshinweises erwähnt außerdem CVE-2026-109619, jedoch enthält der verfügbare Text des Hinweises keine technische Beschreibung, keine Bewertung der Kritikalität und keine Liste der betroffenen Produkte für diese Kennung.
Betroffene und nicht betroffene Produkte
Fortinet hat seine Produkte in zwei Kategorien eingeteilt. Die folgenden Produkte befinden sich in der Untersuchungsphase – das heißt, Fortinet hat noch nicht abschließend festgestellt, ob sie von der Schwachstelle betroffen sind:
- FortiADC
- FortiADC Manager
- FortiClient EMS
- FortiDDoS
- FortiDDoS-F
- FortiSIEM
- FortiMonitor
- FortiClient Cloud
- FortiSOAR
- FortiSOAR PaaS
- FortiGuard
- FortiEndpoint
Produkte, die bestätigt nicht betroffen sind:
- FortiOS, FortiManager, FortiAnalyzer
- FortiWeb, FortiMail
- FortiClient Linux, FortiClient Windows, FortiClient MacOS
- FortiSASE, FortiAuthenticator, FortiSwitch, FortiNAC
Wichtig ist zu betonen: Der Status „in Untersuchung“ bedeutet keine bestätigte Schwachstelle. Diese Liste kann sich ändern, sobald Fortinet die Analyse abgeschlossen hat. Das verfügbare Material des Sicherheitshinweises enthält keine Informationen über betroffene Versionen oder Upgrade-Pfade – dies kann entweder damit zusammenhängen, dass die Untersuchung noch andauert, oder damit, dass der vollständige Text des Hinweises zusätzliche Angaben enthält.
Auswirkungsbewertung
Die Kombination aus drei Faktoren macht CVE-2026-109618 besonders aufmerksamkeitsrelevant: ein CVSS-Score von 9.8, die Möglichkeit der Ausnutzung ohne Authentifizierung und ein breites Spektrum potenziell betroffener Produkte. In der Liste der untersuchten Produkte finden sich Lösungen für das Traffic-Management (FortiADC), SIEM-Systeme (FortiSIEM), Security-Orchestrierungsplattformen (FortiSOAR) und DDoS-Schutzlösungen. Diese Produkte werden in der Regel in der sicherheitskritischen Infrastruktur von Organisationen eingesetzt.
Es ist hervorzuheben, dass wir bereits früher über kritische Schwachstellen in Fortinet-Produkten berichtet haben, darunter über eine kritische FortiSIEM-Schwachstelle mit CVSS 9.4 und eine Umgehung der Authentifizierung in FortiSandbox mit CVSS 9.6. FortiSIEM ist erneut in der Liste der untersuchten Produkte aufgeführt, was die Notwendigkeit einer besonders sorgfältigen Überwachung von Updates für diese Plattform unterstreicht.
Empfehlungen
Da Fortinet im verfügbaren Material des Sicherheitshinweises keine konkreten Zielversionen für Updates oder Workarounds veröffentlicht hat, beschränken sich die Empfehlungen zum jetzigen Zeitpunkt auf Folgendes:
- Überwachung des Sicherheitshinweises: Verfolgen Sie Aktualisierungen zu FG-IR-26-186 – Fortinet kann den Hinweis im Zuge des Abschlusses der Untersuchung um Informationen zu betroffenen Versionen und Patches ergänzen
- Inventarisierung: Ermitteln Sie, ob in Ihrer Infrastruktur Produkte aus der Liste der untersuchten Systeme eingesetzt werden, und bereiten Sie einen Plan für ein zeitnahes Update vor
- Netzsegmentierung: Beschränken Sie den Netzwerkzugang zu den Management-Interfaces der untersuchten Produkte, um die Angriffsfläche bis zur Veröffentlichung endgültiger Empfehlungen des Herstellers zu minimieren
- Überwachung von Anomalien: Verstärken Sie die Beobachtung der untersuchten Produkte im Hinblick auf untypische Aktivitäten – anomalen Speicherverbrauch, unerwartete Prozesse oder verdächtige Netzwerkverbindungen
Organisationen, die Produkte aus der Liste der untersuchten Systeme betreiben – insbesondere FortiSIEM, FortiSOAR und FortiADC –, sollten bereits jetzt ein Verfahren für Notfall-Updates vorbereiten und den externen Zugriff auf diese Systeme einschränken. Sobald Fortinet die Untersuchung abgeschlossen und konkrete Versionen mit Korrekturen veröffentlicht hat, wird ein Zögern bei deren Einspielung angesichts eines CVSS-Scores von 9.8 und des Fehlens einer Authentifizierungspflicht ein erhebliches Risiko darstellen.
