Kundenportal
Kundenportal

Security Alert · Schwachstelle

Fortinet-Patchday November: kritische Lücken in FortiOS, FortiManager und FortiAuthenticator

Risiko mittelVeröffentlicht Aktualisiert
Risikostufe
Mittel
Kategorie
Schwachstelle
Betroffene Systeme
FortiOS 8.0.0–8.0.1, 7.6.0–7.6.7, 7.4.0–7.4.12, 7.2.0–7.2.13 und 7.0.1–7.0.19
FortiSASE 26.3.1/26.3.1_a sowie 26.2 bis 25.1 (24.4 und älter nicht betroffen)
FortiManager 8.0.0, 7.6.0–7.6.7, 7.4.0–7.4.5, 7.2.0–7.2.8
FortiAuthenticator 8.0.0–8.0.3 und 6.6.0–6.6.10
FortiMail 8.0.0–8.0.1, 7.6.0–7.6.6, 7.4.0–7.4.8 und 7.2 (alle Versionen)
Abhilfe verfügbar
Die von Fortinet genannten behobenen Versionen einspielen bzw. bei FortiOS 7.0 und FortiMail 7.2 auf eine behobene Version wechseln; Verwaltungs- und Managementports nicht aus dem Internet erreichbar machen
Quelle
Fortinet PSIRT, Fortinet PSIRT, Fortinet PSIRT, Fortinet PSIRT, Fortinet PSIRT, Fortinet PSIRT, Fortinet PSIRT, Fortinet PSIRT, CERT-Bund, CVE-Datensatz CVE-2026-126253 (CNA Fortinet), CVE-Datensatz CVE-2026-126261 (CNA Fortinet), CVE-Datensatz CVE-2026-126257 (CNA Fortinet), CVE-Datensatz CVE-2026-126160 (CNA Fortinet), CISA Known Exploited Vulnerabilities Catalog (JSON

Was ist passiert?

Fortinet hat am 10.11.2026 Sicherheitshinweise für zahlreiche Produkte veröffentlicht. Das CERT-Bund hat dazu am 11.11.2026 die Sammelwarnung WID-SEC-2026-4489 herausgegeben (Schweregrad hoch) und darin 60 Fortinet-Hinweise mit 68 CVE-Einträgen vom 10.11.2026 gebündelt, unter anderem zu FortiOS, FortiManager, FortiMail, FortiClient und FortiAnalyzer. Die folgende Darstellung konzentriert sich auf vier besonders schwerwiegende Lücken; FortiAuthenticator (CVE-2026-126257) ist in der CERT-Bund-Sammelwarnung nicht enthalten, aber durch Fortinet selbst dokumentiert.

- FortiOS und FortiSASE, CVE-2026-126253 (CVSS 9,3, Critical): Im OSPF-Routingdienst können nicht angemeldete Angreifer mit einer präparierten Anfrage Routing-Informationen (LSAs) verbreiten. Der Angriff setzt laut CVSS-Vektor ein angrenzendes Netz voraus (AV:A), nicht notwendig Erreichbarkeit aus dem beliebigen Internet. - FortiManager, CVE-2026-126261 (CVSS 9,0, Critical): Wer den FGFM-Port erreicht, kann ohne Anmeldung mit präparierten Paketen Code oder Befehle ausführen. - FortiAuthenticator, CVE-2026-126257 (CVSS 9,0, Critical): Ein fest eingebautes Passwort kann unter bestimmten Umständen, die außerhalb der Kontrolle des Angreifers liegen, die Anmeldeprüfung aushebeln. Der Vektor weist eine hohe Angriffskomplexität aus (AC:H). - FortiMail, CVE-2026-126160 (CVSS 8,2, High): Nicht angemeldete Angreifer können Quarantäne-Nachrichten beliebiger Postfächer freigeben oder löschen.

Für diese vier Hinweise vermerkt Fortinet jeweils „Known Exploited: No“ und „Discovered: Internal“. In der CISA-KEV (Katalogversion 2026.11.10) sind die vier CVEs nicht enthalten.

Wer ist betroffen?

Betreiber von FortiGate-Firewalls mit den genannten FortiOS-Ständen einschließlich 7.0, von FortiSASE (26.3 sowie 26.2 bis 25.1), FortiManager, FortiAuthenticator und FortiMail (einschließlich aller 7.2-Versionen). Die vollständige November-Liste von Fortinet bzw. die CERT-Bund-Sammelwarnung sollte mit dem eigenen Gerätebestand abgeglichen werden.

Wie hoch ist das Risiko?

Mittel. Mehrere Lücken sind kritisch und ohne Anmeldung ausnutzbar, sofern der jeweilige Dienst erreichbar ist; beim OSPF-Fall nur aus einem angrenzenden Netz. CERT-Bund stuft die Sammelwarnung als hoch ein. Für die vier herausgegriffenen Hinweise ist keine Ausnutzung dokumentiert („Known Exploited: No“, nicht in der KEV-Stand 10.11.2026).

So schützen Sie sich

  1. FortiOS auf 8.0.2, 7.6.8, 7.4.13 oder 7.2.14 aktualisieren; FortiOS 7.0.1 bis 7.0.19 auf eine behobene Version wechseln. FortiSASE-Kunden: 26.3 hat Fortinet nach eigenen Angaben in 26.3.2 behoben (keine Aktion nötig); Stände 26.2 bis 25.1 auf eine behobene Version wechseln.
  2. FortiManager auf 8.0.1, 7.6.8, 7.4.6 bzw. 7.2.9 aktualisieren. Den FGFM-Port nicht aus dem Internet erreichbar machen.
  3. FortiAuthenticator auf 8.0.4 bzw. 6.6.11 aktualisieren.
  4. FortiMail auf 8.0.2, 7.6.7 bzw. 7.4.9 aktualisieren; FortiMail 7.2 auf eine behobene Version wechseln. FortiMail-Cloud-Kunden müssen laut Fortinet nichts tun (Behebung am 05.10.2026).
  5. Verwaltungsoberflächen und Managementports nur aus dem internen Netz oder über VPN erreichbar machen und den eigenen Gerätebestand mit den November-Hinweisen abgleichen.

Quellen

Mehr zum Thema

Akuter Verdacht oder Fragen zu Ihren Systemen?

Bestandskunden und technische Fälle: Unser Support prüft mit Ihnen.

[email protected]Zum Kundenportal

Absicherung neu planen? [email protected]

Stand: 12.11.2026

© 2026 BDT Group GmbH · blured.de