Der CAPWAP-Dienst, über den FortiGate-Firewalls ihre Access Points und Switches steuern, enthält einen Heap-Overflow: Wer ihn über UDP-Port 5246 erreicht, kann ohne Anmeldung eigenen Code auf der Firewall ausführen. Fortinet hat die Lücke im Januar 2026 geschlossen. Seit dem Sommer wird sie aktiv ausgenutzt, um den Node.js-Trojaner PivotC2 zu installieren, der Konfiguration und Zugangsdaten entschlüsselt und die Firewall zum Sprungbrett ins interne Netz macht. Seit dem 9. September 2026 steht die Schwachstelle im CISA-Katalog aktiv ausgenutzter Schwachstellen – mit forensischer Triage-Pflicht.
Advisory als PDF herunterladenDer Daemon cw_acd (CAPWAP Wireless Aggregate Controller) verarbeitet auf FortiGate und FortiSwitchManager die Steuerkommunikation mit FortiAPs und FortiSwitches. Beim Parsen speziell präparierter CAPWAP-Pakete schreibt er über das Ende eines Heap-Puffers hinaus (CWE-122). Ein Angreifer, der den Dienst erreicht, kann damit den Programmfluss übernehmen und Befehle mit den Rechten des Daemons ausführen – ohne Zugangsdaten, ohne Nutzerinteraktion. Erreichbar ist der Dienst überall dort, wo ein Interface CAPWAP bzw. „Fabric"-Zugriff erlaubt – auf falsch konfigurierten WAN-Ports also direkt aus dem Internet. Fortinet fand die Lücke intern; die beobachteten Angreifer nutzen laut SOCRadar CAPWAP-Discovery-Antworten, um die Adressverwürfelung (ASLR) auszuhebeln.
| Produkt / Zweig | Verwundbar | Fixversion |
|---|---|---|
| FortiOS 7.6 | 7.6.0 – 7.6.3 | 7.6.4 oder höher |
| FortiOS 7.4 | 7.4.0 – 7.4.8 | 7.4.9 oder höher |
| FortiOS 7.2 | 7.2.0 – 7.2.11 | 7.2.12 oder höher |
| FortiOS 7.0 | 7.0.0 – 7.0.17 | 7.0.18 oder höher |
| FortiOS 6.4 | alle Versionen | Migration auf gefixten Zweig |
| FortiSwitchManager 7.2 | 7.2.0 – 7.2.6 | 7.2.7 oder höher |
| FortiSwitchManager 7.0 | 7.0.0 – 7.0.5 | 7.0.6 oder höher |
| FortiSASE 25.1 / 25.2 | 25.1.a.2 · 25.2.b | durch Fortinet behoben (25.1.b / 25.2.c) |
Für den Zweig 6.4 nennt Fortinet als CNA keinen eigenen Fix (Drittquellen führen 6.4.17 an) – hier ist der Wechsel auf einen unterstützten Zweig der belastbare Weg. FortiSASE wurde cloudseitig von Fortinet gepatcht, Kunden müssen dort nichts tun. Siemens RUGGEDCOM APE1808 mit Fortinet-NGFW ist ebenfalls betroffen (SSA-864900). Exakte Build-Stände gegen FG-IR-25-084 abgleichen.
Regulatorischer Hinweis: Eine übernommene Firewall mit entschlüsselten Zugangsdaten ist in der Regel eine meldepflichtige Verletzung – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung, Forensik und Dokumentation.
In dieser Reihenfolge – Erreichbarkeit vor Patch, Patch vor Entwarnung.
fabric in den Zugriffsrechten steht – jedes WAN-Interface mit diesem Eintrag ist aus dem Internet angreifbar.show system interface | grep -B3 -A3 allowaccessfabric-Zugriff entfernen, sodass nur die benötigten Dienste bleiben. Alternativ CAPWAP per Local-in-Policy auf die IP-Adressen der eigenen Access Points und Switches beschränken (Service UDP 5246-5249, alles andere verwerfen). Beides ist von Fortinet als Workaround dokumentiert.config system interface · edit "wan1" · set allowaccess ping https ssh · next · end7.6.4 · 7.4.9 · 7.2.12 · 7.0.18 (FortiOS) bzw. 7.2.7 · 7.0.6 (FortiSwitchManager). Für 6.4 gibt es keinen Fix im eigenen Zweig – Migration einplanen. Vorher Konfigurationssicherung ziehen; HA-Cluster nach Fortinet-Upgrade-Pfad aktualisieren./tmp/.i.js suchen, ausgehende TLS-Verbindungen der Firewall selbst zu unbekannten Zielen prüfen und die IoCs unten abgleichen. CISA verlangt für Bundesbehörden hier ausdrücklich eine forensische Triage – das ist auch für Sie der richtige Maßstab./tmp/.i.js (PivotC2, Node.js)fortirun.binUDP 5246 aus fremden QuellenZur Einordnung: Die Indikatoren stammen aus der Kampagnenanalyse der SOCRadar Threat Research Unit und sind von Fortinet nicht als offizielle IoCs bestätigt; Dateinamen und Infrastruktur sind trivial änderbar. Belastbarer als die Suche nach einem Dateinamen ist die Frage, ob der CAPWAP-Dienst des Geräts seit Januar 2026 aus dem Internet erreichbar war.
Wichtig: Ein Angriff über CAPWAP hinterlässt keinen Anmeldevorgang – kein fehlgeschlagener Login, keine VPN-Sitzung. Wer nur Authentifizierungs-Ereignisse überwacht, sieht die Übernahme der Firewall nicht. Sichtbar wird sie erst an dem, was danach passiert: ausgehende Verbindungen der Firewall selbst und die Nutzung gestohlener Zugänge.
Fortinet PSIRT Advisory FG-IR-25-084 · CVE-Record CVE-2025-25249 (Fortinet als CNA) · NVD CVE-2025-25249 · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 09.09.2026) · Siemens ProductCERT SSA-864900 · SOCRadar Threat Research Unit, Analyse der PivotC2-Kampagne (September 2026). Angaben nach bestem Wissen zum Stand 14.09.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Ausgehende Verbindungen der Firewall zu unbekannten Zielen und die Wiederverwendung ihrer VPN-Zugangsdaten aus fremden Quellen. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.