FortiAnalyzer und FortiManager: SQL-Injection über OFTP ermöglicht Codeausführung ohne Authentifizierung (CVE-2026-126262)

Was passiert ist

CVE-2026-126262 ist eine SQL-Injection-Schwachstelle in FortiAnalyzer und FortiManager. Ein nicht authentifizierter Angreifer, der den OFTP-Port erreichen kann, kann manipulierte OFTP-Pakete senden und auf dem System Code oder Befehle ausführen. Es sind weder Zugangsdaten noch eine Benutzerinteraktion erforderlich. Der CVSS-v3.1-Wert beträgt 9,3 (kritisch); die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch.

Fortinet hat einen Sicherheitshinweis veröffentlicht; im CVE-Eintrag ist keine korrigierte Version aufgeführt. Der Eintrag enthält keine Hinweise auf aktive Ausnutzung oder eine öffentliche Offenlegung.

Wer betroffen ist

Betroffen sind FortiAnalyzer 8.0.0 bis 8.0.1, 7.6.0 bis 7.6.7, 7.4.0 bis 7.4.11 und 7.2.0 bis 7.2.12 sowie FortiManager 8.0.0, 7.6.0 bis 7.6.7, 7.4.0 bis 7.4.11 und 7.2.0 bis 7.2.12. Die Gefährdung setzt voraus, dass der OFTP-Port erreichbar ist.

Was jetzt zu tun ist

1. Schränken Sie den Zugriff auf den OFTP-Port so ein, dass nur vertrauenswürdige Geräte die betroffenen FortiAnalyzer- und FortiManager-Systeme erreichen können.
2. Verlegen Sie diese Systeme in ein eigenes Management-Netzwerksegment ohne eingehenden Zugriff aus nicht vertrauenswürdigen Netzen.
3. Überwachen Sie OFTP-Verbindungsversuche und Protokolle auf unerwartete oder unbekannte Quellen.
4. Verfolgen Sie den Sicherheitshinweis von Fortinet hinsichtlich einer korrigierten Version; bislang ist weder eine korrigierte Version noch eine Problemumgehung des Herstellers aufgeführt.

Wie man es erkennt

Für CVE-2026-126262 sind im CVE-Eintrag keine Anzeichen einer Kompromittierung aufgeführt. Die Erkennung sollte bei der Angriffsfläche ansetzen: Pflegen Sie ein Inventar der Hosts, die den OFTP-Port erreichen dürfen, und alarmieren Sie bei Verbindungsversuchen von jeder anderen Quelle.

Über den Patch hinaus

Eine Injection-Schwachstelle, die ohne Authentifizierung über das Netzwerk erreichbar ist, ist genau die Art von Gefährdung, die erkannt werden sollte, bevor ein Sicherheitshinweis sie benennt. Mit Virtual CISO Services (vCISO) erhalten Sie eine Sicht von außen auf exponierte Management-Ports wie OFTP, und mit Implementierungs- und Bewertungsleistungen lassen sich Injection-Schwachstellen testen und Fortinet-Bereitstellungen härten. Für Organisationen, die viele Appliances verschiedener Hersteller betreiben, verfolgen wir mit Lieferkettenschutz und Drittparteienrisiko die Patch-Zyklen der Lieferanten und das dadurch entstehende Gefährdungsfenster.