Blind-XPath-Injection in FortiManager und FortiAnalyzer ermöglicht Manipulation signierter SAML-Antworten ohne Authentifizierung (CVE-2026-126176)

Was passiert ist

Der CVE-Eintrag beschreibt eine XML-Injection-Schwachstelle, auch als blinde XPath-Injection bezeichnet, in der SAML-Anfrageverarbeitung von FortiManager, FortiAnalyzer und deren Cloud-Editionen. Ein nicht authentifizierter Remote-Angreifer kann präparierte SAML-Anfragen senden. Es sind weder Benutzerinteraktion noch vorherige Zugangsdaten erforderlich; allerdings weist die Schwachstelle eine hohe Angriffskomplexität auf. Eine erfolgreiche Ausnutzung kann es dem Angreifer ermöglichen, beliebige Inhalte in eine signierte SAML-Antwort einzuschleusen, was in erster Linie die Integrität von Identitätszusicherungen beeinträchtigt.

Der CVSS-3.1-Wert beträgt 8,1 mit dem Schweregrad „hoch“, geändertem Scope, hoher Integritätsbeeinträchtigung und geringeren Auswirkungen auf Vertraulichkeit und Verfügbarkeit. Der CVE-Eintrag listet keine bekannte Ausnutzung auf, und Fortinet hat nicht erklärt, dass die Schwachstelle aktiv angegriffen wird. Da die Schwachstelle ohne Authentifizierung über das Netzwerk erreichbar ist, tragen Bereitstellungen, bei denen diese Systeme oder ihre SAML-Endpunkte aus nicht vertrauenswürdigen Netzen erreichbar sind, das größte Risiko.

Wer betroffen ist

Betroffen sind folgende Versionen:

• FortiManager 8.0.0, 7.6.0 bis 7.6.7, 7.4.0 bis 7.4.11 und 7.2.0 bis 7.2.12
• FortiAnalyzer 8.0.0, 7.6.0 bis 7.6.7, 7.4.0 bis 7.4.11 und 7.2.0 bis 7.2.12
• FortiAnalyzer Cloud 8.0.0, 7.6.0 bis 7.6.7, 7.4.1 bis 7.4.11 und 7.2.1 bis 7.2.12
• FortiManager Cloud 8.0.0, 7.6.0 bis 7.6.7, 7.4.1 bis 7.4.11 und 7.2.1 bis 7.2.12

Wenn Ihr Unternehmen eines dieser Produkte in diesen Versionsbereichen einsetzt, behandeln Sie das System als betroffen.

Was jetzt zu tun ist

1. Prüfen Sie, ob Sie eine betroffene Version von FortiManager, FortiAnalyzer, FortiManager Cloud oder FortiAnalyzer Cloud einsetzen. Die betroffenen Versionsbereiche sind oben aufgeführt.
2. Behandeln Sie die Schwachstelle als noch nicht behoben. Fortinet hat weder korrigierte Versionen noch einen Hersteller-Workaround veröffentlicht; warten Sie daher nicht auf eine Patch-Ankündigung, bevor Sie die Erreichbarkeit einschränken.
3. Beschränken Sie den Netzwerkzugriff auf die betroffenen Systeme, insbesondere auf SAML-Login-Endpunkte, auf vertrauenswürdige Managementnetze oder VPNs, und entfernen Sie sie, wo möglich, aus der direkten Erreichbarkeit aus dem Internet.
4. Prüfen Sie regelmäßig die PSIRT-Referenz von Fortinet für dieses Problem auf aktualisierte Hinweise; zum Zeitpunkt dieser Schwachstellen-Warnung ist weder eine korrigierte Version noch ein Workaround aufgeführt.
5. Überprüfen Sie die SAML-Authentifizierungsaktivitäten auf unerwartete oder fehlerhafte Anfragen, bis Fortinet weitere Hinweise veröffentlicht.

Wie man es erkennt

Fortinet hat keine herstellerspezifischen Indikatoren für diese Schwachstelle veröffentlicht. Überwachen Sie bis zur Veröffentlichung weiterer Hinweise durch Fortinet die SAML-Authentifizierungsprotokolle auf unerwartete oder fehlerhafte SAML-Anfragen, welche die betroffenen FortiManager- und FortiAnalyzer-Systeme betreffen, insbesondere wenn diese Endpunkte aus nicht vertrauenswürdigen Netzen erreichbar sind.

Über den Patch hinaus

Hierbei handelt es sich um eine Schwachstelle in Management- und Analysesystemen, die ohne Authentifizierung über das Netzwerk erreichbar ist; die unmittelbare Aufgabe besteht darin, die Erreichbarkeit zu verringern. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, aus dem Internet erreichbare FortiManager- und FortiAnalyzer-Installationen zu identifizieren und den Zugriff zu beschränken. Da Ihr Zeitfenster der Gefährdung vom Patch-Zyklus von Fortinet abhängt, hilft Ihnen Lieferkettenschutz & Drittanbieterrisiken dabei, die betroffenen Produkte in Ihrer Umgebung sowie die Zeitplanung des Herstellers für Korrekturen nachzuverfolgen.