Ein nicht authentifizierter Angreifer aus dem Internet kann über eine speziell gebaute Hash-Cookie in HTTP-Anfragen einen Stack-Überlauf in der Administrations-API auslösen und beliebigen Code ausführen – ohne gültige Anmeldedaten. Betroffen ist eine ganze Produktfamilie (FortiVoice, FortiMail, FortiNDR, FortiRecorder, FortiCamera); für FortiVoice ist die Ausnutzung als Zero-Day seit Mai 2025 bestätigt.
Advisory als PDF herunterladenDie administrative Web-API der betroffenen Geräte kopiert den Wert einer speziell präparierten Hash-Cookie aus einer HTTP-Anfrage in einen Puffer fester Größe auf dem Stack, ohne die Länge zu prüfen (Stack-based Buffer Overflow, CWE-121). Ein Angreifer überschreibt damit gezielt den Stack und lenkt den Programmfluss auf eigenen Code – ohne Anmeldung, allein durch das Senden einer HTTP-Anfrage an das erreichbare Management-/Portal-Interface. Ergebnis ist eine Codeausführung mit den Rechten des Web-Dienstes.
hash-Cookie wird in einer HTTP-Anfrage gesendetCWE-121)fcgi debugging zum Mitschneiden von Zugangsdaten, Malware/Cron-Jobs| Produkt / Zweig | Verwundbar | Fixversion |
|---|---|---|
| FortiVoice 7.2 | 7.2.0 | 7.2.1 |
| FortiVoice 7.0 | 7.0.0 – 7.0.6 | 7.0.7 |
| FortiVoice 6.4 | 6.4.0 – 6.4.10 | 6.4.11 |
| FortiMail 7.6 | 7.6.0 – 7.6.2 | 7.6.3 |
| FortiMail 7.4 | 7.4.0 – 7.4.4 | 7.4.5 |
| FortiMail 7.2 | 7.2.0 – 7.2.7 | 7.2.8 |
| FortiMail 7.0 | 7.0.0 – 7.0.8 | 7.0.9 |
| FortiNDR 7.6 | 7.6.0 | 7.6.1 |
| FortiNDR 7.4 | 7.4.0 – 7.4.7 | 7.4.8 |
| FortiNDR 7.2 | 7.2.0 – 7.2.4 | 7.2.5 |
| FortiNDR 7.0 | 7.0.0 – 7.0.6 | 7.0.7 |
| FortiRecorder 7.2 | 7.2.0 – 7.2.3 | 7.2.4 |
| FortiRecorder 7.0 | 7.0.0 – 7.0.5 | 7.0.6 |
| FortiRecorder 6.4 | 6.4.0 – 6.4.5 | 6.4.6 |
| FortiCamera 2.1 | 2.1.0 – 2.1.3 | 2.1.4 |
| FortiCamera 2.0 · 1.1 | alle Versionen | auf gepatchten Release migrieren |
Praktisch angreifbar sind nur Geräte mit erreichbarem HTTP/HTTPS-Administrations- oder Portal-Interface. FortiCamera 2.0 und 1.1 haben keine feste Fixversion im Zweig – Fortinet verweist auf Migration auf einen gepatchten Release. Exakte Build-Ranges gegen das Advisory FG-IR-25-254 abgleichen; bestätigte Ausnutzung bislang auf FortiVoice.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff bzw. eine Codeausführung auf diesen Systemen kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Interface abschotten vor Patch, Patch vor Entwarnung.
allowaccess entfernen und auf vertrauenswürdige Hosts / VPN beschränken:config system interface
edit <port>
set allowaccess ping ssh
next
endFortiVoice 7.0.7 · FortiMail 7.6.3 · FortiNDR 7.4.8 · FortiRecorder 7.2.4 · FortiCamera 2.1.4). Für FortiCamera 2.0 / 1.1 gibt es keinen In-Zweig-Fix – auf einen gepatchten Release migrieren.fcgi debugging (ist standardmäßig aus), gelöschte System-Crashlogs, unbekannte Cron-Jobs, neue lokale Konten sowie die Quell-IPs unten. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.198.105.127.124 · 43.228.217.173
43.228.217.82 · 156.236.76.90
218.187.69.244 · 218.187.69.59fcgi debugging (Standard: aus) · gelöschte System-Crashlogs · unbekannte cron-Jobs zum Abgriff von ZugangsdatenZur Einordnung: Die Quell-IPs sind eine Momentaufnahme der von Fortinet beobachteten Kampagne und flüchtig – kein Ersatz für die Analyse Ihrer System- und Zugriffslogs. Das erneute Aktivieren von fcgi debugging und fehlende Crashlogs sind starke Indizien, aber kein Beweis; im Verdachtsfall das Gerät forensisch bewerten.
Wichtig: Eine erfolgreiche Ausnutzung führt zu Codeausführung auf dem Gerät. Beobachtet wurden Löschen der Crashlogs, Aktivieren von fcgi debugging zum Mitschneiden von Zugangsdaten und Cron-Jobs zur Persistenz – ein reiner Patch entfernt weder abgeflossene Zugangsdaten noch bereits gesetzte Persistenz. Ohne Prüfung des Systems bleibt eine erfolgte Kompromittierung unsichtbar.
Fortinet PSIRT Advisory FG-IR-25-254 (CVE-2025-32756, CVSS 9,6 inkl. Temporal) · NVD (nvd.nist.gov, CVSS 3.1 Basiswert 9,8, CWE-121/CWE-787) · CISA Known Exploited Vulnerabilities Catalog (Aufnahme 14.05.2025, Frist 04.06.2025). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Produkt-Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Das nachträgliche Aktivieren von fcgi debugging, fehlende Crashlogs und anomale HTTP-Anfragen mit überlanger hash-Cookie. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
PROJEKT
Management-Oberflächen sind wiederkehrend betroffen. Ein Test zeigt, welche davon bei Ihnen erreichbar sind, bevor es jemand anderes herausfindet.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.