CVE-2026-24858
Fortinet Multiple Products Authentication Bypass Using an Alternate Path or Channel Vulnerability
Beschreibung
CVE-2026-24858 ist eine kritische Authentication-Bypass-Schwachstelle, die mehrere Fortinet-Produkte betrifft, darunter FortiAnalyzer, FortiManager, FortiOS, FortiProxy und FortiWeb. Durch die Nutzung eines alternativen Pfads oder Kanals koennen nicht authentifizierte Angreifer die Authentifizierung umgehen. Die Schwachstelle erhaelt einen CVSS v3.1-Score von 9.8 (CRITICAL) und betrifft eine aussergewoehnlich breite Palette von Fortinet-Produkten und -Versionen.
Die CISA hat CVE-2026-24858 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 30. Januar 2026. Der Ransomware-Status wird als Unknown gefuehrt. Der EPSS-Score von 2.42 % (84.9. Perzentil) zeigt eine ueberdurchschnittliche Ausnutzungswahrscheinlichkeit. Die aussergewoehnliche Breite der betroffenen Produkte -- von Netzwerk-Firewalls ueber Web Application Firewalls bis hin zu zentralen Management-Plattformen -- macht diese Schwachstelle zu einer der weitreichendsten Fortinet-Schwachstellen ueberhaupt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fortinet | fortianalyzer | >= 7.0.0, <= 7.0.15; >= 7.2.0, <= 7.2.11; >= 7.4.0, < 7.4.10; >= 7.6.0, < 7.6.6 |
| fortinet | fortimanager | >= 7.0.0, <= 7.0.15; >= 7.2.0, <= 7.2.11; >= 7.4.0, < 7.4.10; >= 7.6.0, < 7.6.6 |
| fortinet | fortinac-f | >= 7.6.3, < 7.6.6 |
| fortinet | fortiproxy | >= 7.0.0, <= 7.0.22; >= 7.2.0, <= 7.2.15; >= 7.4.0, <= 7.4.12; >= 7.6.0, <= 7.6.4 |
| fortinet | fortiweb | >= 7.4.0, <= 7.4.11; >= 7.6.0, <= 7.6.6; >= 8.0.0, <= 8.0.3 |
| fortinet | fortios | >= 7.0.0, <= 7.0.18; >= 7.2.0, <= 7.2.12; >= 7.4.0, < 7.4.11; >= 7.6.0, < 7.6.6 |
| siemens | ruggedcom ape1808 firmware | - |
Referenzen
- https://fortiguard.fortinet.com/psirt/FG-IR-26-060(Vendor Advisory)
- https://cert-portal.siemens.com/productcert/html/ssa-975644.html(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-24858(US Government Resource)
- https://www.fortinet.com/blog/psirt-blogs/analysis-of-sso-abuse-on-fortios(Mitigation, Vendor Advisory)
Schwachstellentyp
CWE-288: Authentication Bypass Using an Alternate Path or Channel
CVE-2026-24858 basiert auf CWE-288 (Authentication Bypass Using an Alternate Path or Channel), einer Schwachstellenklasse, bei der die Authentifizierung ueber einen alternativen Kommunikationspfad umgangen werden kann. Dies bedeutet, dass ein Angreifer einen Weg findet, auf geschuetzte Funktionen zuzugreifen, der die normalen Authentifizierungsmechanismen nicht durchlaeuft.
Bei Fortinet-Produkten koennte dies beispielsweise bedeuten, dass ein interner API-Endpunkt, ein SSO-Mechanismus oder ein Management-Protokoll existiert, das die Standard-Authentifizierung umgeht. Fortinet hat in einem Blog-Beitrag die Analyse von SSO-Missbrauch auf FortiOS dokumentiert, was auf den SSO-Mechanismus als alternativen Authentifizierungspfad hindeutet. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen von CVE-2026-24858 sind durch die Breite der betroffenen Produkte ausserordentlich weitreichend. Vertraulichkeit: Die betroffenen Produkte verarbeiten sensible Netzwerk- und Sicherheitsdaten. FortiAnalyzer und FortiManager enthalten Logs und Konfigurationen aller verwalteten Fortinet-Geraete. FortiOS und FortiProxy schuetzen den gesamten Netzwerkverkehr. Ein Authentication Bypass gibt dem Angreifer Zugriff auf diese hochsensiblen Daten (C:H).
Integritaet: Mit umgangenem Authentifizierungsschutz kann der Angreifer Firewall-Regeln aendern, VPN-Tunnel erstellen, Proxy-Konfigurationen manipulieren und Sicherheitsrichtlinien deaktivieren. Die Kontrolle ueber zentrale Netzwerksicherheitskomponenten ermoeglicht die vollstaendige Unterwanderung der Netzwerksicherheit (I:H). Verfuegbarkeit: Manipulierte Firewall- oder Proxy-Konfigurationen koennen den gesamten Netzwerkverkehr unterbrechen. Die Deaktivierung von Sicherheitsregeln oder die Manipulation von FortiManager-Konfigurationen kann weitreichende Ausfaelle verursachen (A:H). Die Tatsache, dass sowohl Endpunkt-Produkte (FortiOS, FortiProxy, FortiWeb) als auch zentrale Management-Plattformen (FortiAnalyzer, FortiManager) betroffen sind, multipliziert die potenzielle Auswirkung erheblich.
Exploit-Reifegrad
CVE-2026-24858 wurde von der CISA in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 30. Januar 2026. Der Ransomware-Status wird als Unknown gefuehrt. Der EPSS-Score von 2.42 % (84.9. Perzentil) zeigt eine ueberdurchschnittliche Ausnutzungswahrscheinlichkeit.
Fortinet hat ein Security Advisory (FG-IR-26-060) veroeffentlicht und eine detaillierte Analyse des SSO-Missbrauchs auf FortiOS mit Mitigationsmassnahmen bereitgestellt. Die CISA KEV-Listung bestaetigt die aktive Ausnutzung. Fortinet-Schwachstellen sind bei APT-Gruppen und staatlich gestuetzten Angreifern besonders beliebt, da Fortinet-Produkte haeufig als Perimeter-Sicherheitsloesungen eingesetzt werden und damit das erste Ziel bei Netzwerkangriffen darstellen.
Behebung
-
Alle betroffenen Fortinet-Produkte aktualisieren: Konsultieren Sie das Fortinet Security Advisory (FG-IR-26-060) fuer die spezifischen gepatchten Versionen. Die Aktualisierung aller betroffenen Produkte hat hoechste Prioritaet: FortiAnalyzer auf 7.4.10+ oder 7.6.6+, FortiManager auf 7.4.10+ oder 7.6.6+, FortiOS auf 7.4.11+ oder 7.6.6+, FortiProxy und FortiWeb auf die jeweils aktuellsten Versionen.
-
SSO-Konfiguration ueberpruefen: Fortinets Analyse des SSO-Missbrauchs bietet spezifische Anleitungen zur Absicherung der SSO-Konfiguration. Implementieren Sie die empfohlenen Haertungsmassnahmen und deaktivieren Sie nicht benoetigte SSO-Mechanismen.
-
Netzwerkzugriff auf Management-Interfaces einschraenken: Stellen Sie sicher, dass die Administrationsoberflaechen aller Fortinet-Geraete nur ueber dedizierte Management-Netzwerke erreichbar sind. Implementieren Sie Zugriffskontrolllisten (ACLs), die den Zugriff auf bekannte Administrator-IP-Adressen beschraenken.
-
Forensische Analyse der Fortinet-Infrastruktur: Ueberpruefen Sie alle betroffenen Geraete auf Anzeichen einer Kompromittierung. Pruefen Sie Administrator-Konten, Firewall-Regeln, VPN-Konfigurationen und Logging-Einstellungen auf unautorisierte Aenderungen. Achten Sie besonders auf neu erstellte Administrator-Konten oder veraenderte SSO-Einstellungen.
-
Monitoring und Alerting implementieren: Konfigurieren Sie Alarme fuer verdaechtige Authentifizierungsversuche, neue Administrator-Anmeldungen und Konfigurationsaenderungen auf allen Fortinet-Geraeten. Senden Sie FortiAnalyzer-Logs an ein separates SIEM-System, um die Integritaet der Logs auch bei einer Kompromittierung des FortiAnalyzers sicherzustellen.
Technische Details
CVE-2026-24858 betrifft eine breite Palette von Fortinet-Produkten ueber zahlreiche Versionsbereiche: FortiAnalyzer 7.0.0-7.0.15, 7.2.0-7.2.11, 7.4.0-7.4.9, 7.6.0-7.6.5; FortiManager 7.0.0-7.0.15, 7.2.0-7.2.11, 7.4.0-7.4.9, 7.6.0-7.6.5; FortiOS 7.0.0-7.0.18, 7.2.0-7.2.12, 7.4.0-7.4.10, 7.6.0-7.6.5; FortiProxy 7.0.0-7.0.22, 7.2.0-7.2.15, 7.4.0-7.4.12, 7.6.0-7.6.4; FortiWeb 7.4.0-7.4.11, 7.6.0-7.6.6, 8.0.0-8.0.3. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt den kritischsten Angriffsvektor.
Die zugrunde liegende Schwachstelle CWE-288 (Authentication Bypass Using an Alternate Path or Channel) in Verbindung mit Fortinets Blog-Analyse zum SSO-Missbrauch deutet darauf hin, dass der alternative Authentifizierungspfad im SSO-Mechanismus (Single Sign-On) liegt. Fortinet-Produkte unterstuetzen verschiedene SSO-Verfahren, darunter SAML, RADIUS und FortiAuthenticator-basierte Authentifizierung. Ein Fehler in der Validierung von SSO-Tokens oder -Assertions ermoeglicht es einem Angreifer, die Authentifizierung zu umgehen, indem er speziell praeparierte SSO-Anfragen sendet.
Die Tatsache, dass fuenf verschiedene Fortinet-Produktlinien betroffen sind, deutet auf eine gemeinsame Code-Basis oder ein geteiltes Authentifizierungs-Framework hin. Besonders kritisch ist die gleichzeitige Betroffenheit von Management-Plattformen (FortiAnalyzer, FortiManager) und Endpunkt-Produkten (FortiOS, FortiProxy, FortiWeb), da ein Angreifer ueber die Management-Plattformen auf alle verwalteten Geraete zugreifen kann.
Häufig gestellte Fragen
Welche Fortinet-Produkte sind betroffen?
Betroffen sind fuenf Produktlinien: FortiAnalyzer, FortiManager, FortiOS, FortiProxy und FortiWeb. Die Schwachstelle erstreckt sich ueber die Hauptversionen 7.0 bis 7.6 (bei FortiWeb auch 8.0). Die spezifischen betroffenen Versionsbereiche finden Sie im Fortinet Security Advisory FG-IR-26-060.
Wie haengt die Schwachstelle mit SSO-Missbrauch zusammen?
Fortinet hat in einem Blog-Beitrag die Analyse von SSO-Missbrauch auf FortiOS veroeffentlicht. Dies deutet darauf hin, dass der alternative Authentifizierungspfad (CWE-288) im SSO-Mechanismus liegt. Ein Angreifer kann diesen Mechanismus ausnutzen, um die Standard-Authentifizierung zu umgehen und privilegierten Zugriff zu erlangen.
Welches Produkt sollte zuerst gepatcht werden?
FortiManager und FortiAnalyzer sollten hoechste Prioritaet haben, da diese zentralen Management-Plattformen Zugriff auf alle verwalteten Fortinet-Geraete bieten. Danach sollten FortiOS-Firewalls und FortiProxy gepatcht werden, da diese die Netzwerkperimeter schuetzen. FortiWeb sollte ebenfalls zeitnah aktualisiert werden.
Warum betrifft eine einzelne Schwachstelle so viele Fortinet-Produkte?
Die gleichzeitige Betroffenheit von fuenf Produktlinien deutet auf eine gemeinsame Code-Basis oder ein geteiltes Authentifizierungs-Framework hin. Fortinet-Produkte teilen haeufig Kernkomponenten, insbesondere im Bereich der Authentifizierung und des SSO. Eine Schwachstelle in dieser geteilten Komponente manifestiert sich daher in allen Produkten, die sie verwenden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.