Fortinet FortiManager: Unzureichende Autorisierung in der FGFM-Komponente ermöglicht Codeausführung ohne Authentifizierung (CVE-2026-126261)

Was passiert ist

Der Sicherheitshinweis von Fortinet zu FG-IR-26-275 beschreibt eine Schwachstelle durch unzureichende Autorisierung in der FGFM-Komponente von FortiManager. Ein nicht authentifizierter Angreifer, der den FGFM-Port über das Netzwerk erreichen kann, kann manipulierte FGFM-Pakete senden, um Code oder Befehle auszuführen. Der CVSS-3.1-Basiswert beträgt 9,0 (kritisch). Der Vektor setzt einen Angriffsweg über das Netzwerk, geringe Komplexität, keine Berechtigungen und keine Benutzerinteraktion voraus; die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils hoch. Fortinet hat nicht mitgeteilt, dass die Schwachstelle ausgenutzt wurde, und eine öffentliche Veröffentlichung von Exploit-Material ist nicht dokumentiert.

Wer betroffen ist

Betroffen sind folgende FortiManager-Versionen: 8.0.0; 7.6.0 bis 7.6.7; 7.4.0 bis 7.4.5; 7.2.0 bis 7.2.8. Für die Angreifbarkeit ist die Erreichbarkeit des FGFM-Ports entscheidend. Ist dieser Port von außerhalb eines vertrauenswürdigen Managementnetzes erreichbar, sollte die exponierte Instanz als betroffen behandelt werden.

Was jetzt zu tun ist

1. Behandeln Sie die Eindämmung als derzeitige Priorität: Es wird noch keine korrigierte FortiManager-Version aufgeführt, und Fortinet hat keinen Workaround veröffentlicht.
2. Identifizieren Sie jede FortiManager-Instanz mit den Versionen 8.0.0, 7.6.0 bis 7.6.7, 7.4.0 bis 7.4.5 oder 7.2.0 bis 7.2.8.
3. Entfernen oder beschränken Sie den Netzwerkzugriff auf den FGFM-Port so, dass ihn ausschließlich ausdrücklich autorisierter FortiGate-Managementverkehr erreichen kann. Platzieren Sie den Port in einem dedizierten Managementnetz oder hinter Zugriffskontrollen.
4. Überwachen Sie Verbindungen zum FGFM-Port auf unerwartete Quelladressen und prüfen Sie alle Änderungen an der Erreichbarkeit, während Sie auf die korrigierte Version von Fortinet warten.
5. Verfolgen Sie den Sicherheitshinweis FG-IR-26-275 von Fortinet, um eine korrigierte Version zu ermitteln, bevor Sie einen Patch-Zyklus planen.

Wie man es erkennt

Beginnen Sie mit der Erreichbarkeit: Prüfen Sie, ob der FGFM-Port einer betroffenen FortiManager-Instanz von außerhalb des Managementnetzes erreichbar ist. Überprüfen Sie Firewall- und Routing-Regeln auf mögliche Pfade von nicht vertrauenswürdigen Netzwerken zum FGFM-Port.

Über den Patch hinaus

Auch wenn kurzfristig die Eindämmung im Vordergrund steht, ist diese Art von Schwachstelle in erster Linie ein Problem des Exposure-Managements. Ein Netzwerkpfad ohne Authentifizierung zu einem Managementprotokoll hätte sichtbar sein und eingeschränkt werden müssen, bevor ein Sicherheitshinweis erschienen ist. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, erreichbare Management-Ports zu identifizieren und zu schließen, und mit Lieferkettenschutz & Drittparteirisiken verfolgen wir die bei Ihnen eingesetzte Fortinet-Software, den Zyklus der Sicherheitshinweise und das Zeitfenster, in dem Sie auf Eindämmung statt auf einen Patch angewiesen sind.