Am 13. Oktober 2026 hat Fortinet den Sicherheitshinweis FG-IR-26-178 veröffentlicht, der Schwachstellen des Typs SQL injection (CWE-89) in den Produkten FortiAnalyzer, FortiManager und deren Cloud-Versionen beschreibt. Die Schwachstellen ermöglichen es einem Benutzer mit niedrigen Privilegien, über speziell gestaltete Anfragen an die grafische Benutzeroberfläche beliebige Befehle auszuführen. Der Sicherheitshinweis fasst vier CVE-Kennungen zusammen und wurde von Fortinet insgesamt mit CVSSv3 7.9 (High) bewertet, allerdings weichen die Einzelbewertungen der jeweiligen CVEs in den Registern voneinander ab – von 6.5 bis 8.8. Organisationen, die die betroffenen 7.2-, 7.4- und 7.6-Zweige einsetzen, müssen umgehend aktualisieren oder auf fehlerbereinigte Releases migrieren.
Technische Details der Schwachstellen
Der Sicherheitshinweis umfasst vier CVEs: CVE-2025-46773, CVE-2026-23705, CVE-2026-23706 und CVE-2026-23707. Alle werden als SQL injection (CWE-89) klassifiziert und stehen im Zusammenhang mit der GUI-Komponente. Der Angriff erfordert eine Authentifizierung – der Angreifer benötigt ein Konto mit niedrigen Privilegien. Ein erfolgreicher Angriff führt zur Ausführung nicht autorisierten Codes oder nicht autorisierter Befehle, einschließlich beliebigen Lese- und Schreibzugriffs auf Dateien.
Fortinet hat den Sicherheitshinweis insgesamt mit CVSSv3 7.9 (High) bewertet. Diese Bewertung sollte jedoch nicht auf jede der vier CVEs einzeln übertragen werden: Laut dem Eintrag in der NVD zu CVE-2025-46773 beträgt die CNA-Bewertung 8.8 (CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H), während der Eintrag auf CVE.org zu CVE-2026-23707 eine Bewertung von 6.5 (Medium) ausweist. Das bedeutet, dass die tatsächliche Kritikalität der einzelnen Schwachstellen innerhalb des Sicherheitshinweises erheblich variiert.
Abweichung bei der Zuordnung von CVE-2025-46773
Besondere Aufmerksamkeit verdient CVE-2025-46773: Obwohl der Sicherheitshinweis FG-IR-26-178 diese Kennung in seiner Liste aufführt, verweist der NVD-Eintrag zu dieser CVE auf einen anderen Sicherheitshinweis von Fortinet – FG-IR-25-246 – und beschreibt einen enger gefassten Bereich betroffener Produkte (nur FortiAnalyzer und FortiAnalyzer Cloud). Die verfügbaren Daten erlauben keine eindeutige Aussage darüber, ob es sich um eine Kreuzreferenz oder um einen Fehler bei der Zuordnung handelt. Bei der Planung von Behebungen wird empfohlen, beide Sicherheitshinweise zu berücksichtigen.
Betroffene Versionen und Update-Empfehlungen
Die Matrix der betroffenen Versionen unterscheidet sich je nach Produkt und Bereitstellungsform. Die 8.0-Zweige aller Produkte sind nicht betroffen.
FortiAnalyzer (on-premises)
- 7.6.0–7.6.4 – Update auf 7.6.5 oder höher
- 7.4.0–7.4.7 – Update auf 7.4.8 oder höher
- 7.2 (alle Versionen) – Migration auf ein fehlerbereinigtes Release
FortiManager (on-premises)
- 7.6.0–7.6.4 – Update auf 7.6.5 oder höher
- 7.4.0–7.4.6 – Update auf 7.4.7 oder höher
- 7.2 (alle Versionen) – Migration auf ein fehlerbereinigtes Release
FortiAnalyzer Cloud
- 7.6.2–7.6.4 – Update auf 7.6.5 oder höher
- 7.4.1–7.4.7 – Update auf 7.4.8 oder höher
- 7.2.1–7.2.11 – Update auf 7.2.12 oder höher
FortiManager Cloud
- 7.6.2–7.6.4 – Update auf 7.6.5 oder höher
- Zweige 8.0, 7.4 und 7.2 – nicht betroffen
Ein kritischer Punkt: Für On-Premises-Bereitstellungen von FortiAnalyzer und FortiManager im 7.2-Zweig gibt es keine Patches innerhalb dieses Versionszweigs – Fortinet empfiehlt eine vollständige Migration auf ein fehlerbereinigtes Release. Dies verkompliziert den Update-Prozess erheblich im Vergleich zu den Zweigen 7.4 und 7.6, bei denen ein normales Update ausreicht. Die Cloud-Versionen der Produkte weisen engere Bereiche betroffener Versionen und konkrete Ziel-Releases für alle Zweige auf.
Bewertung der Auswirkungen
FortiAnalyzer und FortiManager sind zentrale Komponenten des Sicherheitsmanagements in Fortinet-Infrastrukturen. FortiAnalyzer aggregiert Logs und Analysen aller Fortinet-Geräte im Netzwerk, während FortiManager Konfigurationen und Richtlinien verwaltet. Eine Kompromittierung eines dieser Produkte verschafft einem Angreifer potenziell Zugriff auf Sicherheitslogs, Firewall-Konfigurationen und Richtlinien der gesamten Infrastruktur.
Laut dem Sicherheitshinweis von Fortinet wurden die Schwachstellen von internen Forschern des Unternehmens entdeckt, und der Status der aktiven Ausnutzung ist mit „No“ angegeben. In den verfügbaren Materialien finden sich jedoch keine unabhängigen Bestätigungen für das Ausbleiben einer Ausnutzung – der Exploit-Status sollte daher als nicht festgestellt und nicht als garantiert sicher betrachtet werden. Keine der vier CVEs ist zum Zeitpunkt der Veröffentlichung im CISA-KEV-Katalog aufgeführt.
Zuvor haben wir bereits über Schwachstellen in Fortinet-Produkten berichtet – insbesondere über die Umgehung der Authentifizierung in FortiSandbox mit CVSS-Bewertung 9.6. Der aktuelle Sicherheitshinweis bestätigt, dass die Produktlinie für das Sicherheitsmanagement von Fortinet weiterhin im Fokus der Forscher steht.
Praktische Empfehlungen
- Identifizieren Sie betroffene Bereitstellungen. Prüfen Sie die Versionen von FortiAnalyzer und FortiManager (einschließlich der Cloud-Varianten) anhand der obenstehenden Matrix. Achten Sie auf die Unterschiede in den betroffenen Bereichen zwischen On-Premises- und Cloud-Produkten.
- Priorisieren Sie den 7.2-Zweig. Bereitstellungen im 7.2-Zweig (on-premises) erfordern eine Migration statt eines einfachen Updates – planen Sie diesen Prozess mit hoher Priorität, da er am aufwendigsten ist.
- Aktualisieren Sie die 7.4- und 7.6-Zweige auf die angegebenen fehlerbereinigten Versionen (7.4.7/7.4.8 bzw. 7.6.5, abhängig vom Produkt).
- Führen Sie ein Audit der Konten durch, die Zugriff auf die GUI von FortiAnalyzer und FortiManager haben. Da der Angriff eine Authentifizierung erfordert, verringern eine Minimierung der Anzahl von Konten und die Anwendung des Prinzips der geringsten Privilegien die Angriffsfläche.
- Verfolgen Sie beide Sicherheitshinweise – FG-IR-26-178 und FG-IR-25-246 – für ein vollständiges Verständnis des Umfangs der mit CVE-2025-46773 verbundenen betroffenen Produkte.
Angesichts der Tatsache, dass FortiAnalyzer und FortiManager die Konfigurationen und Logs der gesamten Sicherheitsinfrastruktur verwalten, sollte das Update dieser Komponenten höher priorisiert werden als das Update von Endgeräten. Organisationen im 7.2-Zweig sollten die Planung der Migration unverzüglich beginnen, während Administratoren der Zweige 7.4 und 7.6 die verfügbaren Patches im nächsten Wartungsfenster einspielen sollten.
