FortiOS, FortiManager und FortiAnalyzer verschlüsseln vertrauliche Werte in der CLI-Konfiguration mit einem fest einprogrammierten, allgemein bekannten Schlüssel. Wer Zugriff auf eine Konfigurationssicherung oder die exportierte CLI-Konfiguration erlangt, kann damit Nutzerpasswörter, VPN- und HA-Geheimnisse sowie Passphrasen privater Schlüssel im Klartext wiederherstellen – und die erbeuteten Zugangsdaten anschließend gegen das Netz wenden. Die Schwachstelle steht seit Juni 2025 im CISA-KEV-Katalog und wird unter anderem von der Akira-Ransomware-Gruppe zur Erstinfektion genutzt.
Advisory als PDF herunterladenIn den betroffenen Versionen verschlüsselt FortiOS die als ENC markierten Geheimnisse in der CLI-Konfiguration mit einem fest im Code hinterlegten symmetrischen Schlüssel (in fips.c). Da dieser Schlüssel in allen Geräten identisch und allgemein bekannt ist, bietet die Verschlüsselung keinen echten Schutz: Ein Angreifer mit Zugriff auf die CLI-Konfiguration oder eine Konfigurationssicherung kann die darin gespeicherten Geheimnisse ohne Anmeldedaten wieder in Klartext überführen.
| Produkt / Version | Verwundbar | Fixversion |
|---|---|---|
| FortiOS 5.6.x | ≤ 5.6.10 | 5.6.11 |
| FortiOS 6.0.x | 6.0.0 – 6.0.6 | 6.0.7 |
| FortiOS 6.2.x | 6.2.0 | 6.2.1 |
| FortiManager | ≤ 6.2.4 | 6.2.5 |
| FortiAnalyzer | ≤ 6.2.3 | 6.2.4 |
Betroffen sind FortiOS in den genannten Versionsständen sowie FortiManager ≤ 6.2.4 und FortiAnalyzer ≤ 6.2.3. Der eigentliche Schaden entsteht nicht auf dem Gerät selbst, sondern überall dort, wo eine Konfigurationssicherung liegt – in Backup-Systemen, Ticket-Anhängen, E-Mails oder auf Administrator-Arbeitsplätzen. Jede solche Kopie ist so schützenswert wie die darin enthaltenen Geheimnisse selbst.
Regulatorischer Hinweis: Werden über abgeflossene Konfigurationsdaten Zugangsdaten oder personenbezogene Daten kompromittiert, kann dies eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – patchen, Konfigurationssicherungen absichern, gespeicherte Geheimnisse rotieren, Kompromittierung ausschließen.
5.6.11 / 6.0.7 / 6.2.1 bzw. FortiManager ≤ 6.2.4 oder FortiAnalyzer ≤ 6.2.3 im Einsatz ist. Auch außer Betrieb genommene Geräte zählen, solange deren Konfigurationssicherungen noch irgendwo liegen.5.6.11, 6.0.7 bzw. 6.2.1 oder neuer; FortiManager 6.2.5+, FortiAnalyzer 6.2.4+. Erst neuere Versionen verwenden einen geräteindividuellen Schlüssel.Zur Einordnung: Der Missbrauch ist auf dem Gerät selbst kaum sichtbar, da die Entschlüsselung offline am erbeuteten Konfigurationsstand erfolgt. Der zuverlässigste Indikator ist die Auswertung Ihrer VPN- und Authentifizierungslogs sowie die Nachverfolgung, welche Konfigurationssicherungen wem zugänglich waren.
Wichtig: Der Kern des Risikos liegt nicht im Gerät, sondern in seinen Konfigurationssicherungen: Der feste Schlüssel ist allgemein bekannt, deshalb schützt die Verschlüsselung dort gespeicherte Geheimnisse nicht. Sind VPN-, HA- oder Nutzergeheimnisse einmal aus einer Altsicherung entschlüsselt, bleibt der Zugang auch nach dem Patch bestehen. Die Rotation aller betroffenen Geheimnisse ist daher ebenso wichtig wie das Update.
Fortinet PSIRT Advisory FG-IR-19-007 (Fixes FortiOS 5.6.11 / 6.0.7 / 6.2.1, FortiManager 6.2.5, FortiAnalyzer 6.2.4; Herstellerwertung CVSS 3.1: 4,2) · NVD CVE-2019-6693 (CVSS 3.1: 6,5 MITTEL, Vektor AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N, CWE-798) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 25.06.2025, Frist 16.07.2025) · öffentlich berichtete Ausnutzung durch Akira-Ransomware. Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Nutzung aus alten Konfigurationen entschlüsselter VPN-/Admin-Zugangsdaten sowie bekannte Akira-Ransomware-Indikatoren. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Ein Fix steht bereit. Entscheidend ist, ob Sie alle betroffenen Systeme kennen und den Patchstand belegen können – auch gegenüber einer Aufsicht.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.