OS-Command-Injection in Fortinet FortiWeb

In dieser Reihenfolge – Perimeter abriegeln, patchen, dann Kompromittierung ausschließen.

• Sofort: Management-Zugang einschränken
• Kurzfristig: Patch einspielen
• Parallel: Threat Hunting / Log-Analyse

1. Betroffenheit feststellen
   FortiWeb-Version und -Zweig ermitteln und gegen die Fixversionen abgleichen. Prüfen, ob die Verwaltungsoberfläche (HTTP/HTTPS/SSH) aus nicht vertrauenswürdigen Netzen erreichbar ist – exponierte Management-Interfaces sind das primäre Angriffsziel.
2. Sofort abriegeln (vor dem Patch)
   Zugriff auf die FortiWeb-Verwaltung strikt auf vertrauenswürdige Quell-IPs beschränken und aus dem Internet entfernen (trusthosts / lokale Policy). Da die Lücke oft mit dem Auth-Bypass CVE-2025-64446 verkettet wird, ist die Reduktion der Angriffsfläche am Management-Interface die wirksamste Sofortmaßnahme.
3. Patchen
   Auf die Fixversion des eigenen Zweigs aktualisieren (8.0.2 · 7.6.6 · 7.4.11 · 7.2.12 · 7.0.12 oder höher). Denselben Patch-Vorgang nutzen, um auch den verketteten Auth-Bypass CVE-2025-64446 zu schließen.
4. Kompromittierung ausschließen
   Da vor dem Patch bereits eine Ausnutzung erfolgt sein kann: Konfiguration auf unerwartete Änderungen prüfen, neu angelegte oder veränderte Administrator-Konten kontrollieren, Logs auf ungewöhnliche CLI-/Systembefehle und unbekannte Prozesse durchsehen. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.
5. Anmeldedaten und Zertifikate rotieren
   Bei Verdacht auf Kompromittierung Administrator-Passwörter, API-Schlüssel und auf der Appliance hinterlegte Zertifikate/Geheimnisse erneuern – ein Angreifer mit Codeausführung konnte diese auslesen.

• Verwaltungs-Endpunkte: Unerwartete POST-Anfragen an die FortiWeb-Management-/API-Oberfläche
  auffällig in Verbindung mit dem Traversal-Muster aus CVE-2025-64446
• Verhaltensmarker: Neu angelegte oder unerwartet privilegierte Admin-Konten
  ungewöhnliche CLI-/Systembefehle, fremde Prozesse, geänderte Konfiguration
• Zugriffsquellen: Verwaltungs-Logins von unbekannten oder externen Quell-IPs
  Zugriffe außerhalb üblicher Wartungsfenster

Zur Einordnung: Zu dieser Schwachstelle sind zum Stand dieses Dokuments keine belastbaren, herstellerbestätigten Netz-IoCs (feste Angreifer-IPs oder Datei-Hashes) öffentlich – die genannten Punkte sind Verhaltensindikatoren. Maßgeblich ist die Auswertung Ihrer eigenen FortiWeb-Admin-, System- und Zugriffs-Logs; verketten Sie die Analyse mit den IoCs zu CVE-2025-64446.

Wichtig: Der Angriff setzt Authentifizierung voraus – in der beobachteten Praxis wird diese jedoch über den verketteten Bypass CVE-2025-64446 beschafft, sodass der Schutz durch „nur für Angemeldete“ in der Realität nicht trägt. Beide CVEs zusammen behandeln.

• Management-Zugang heute abriegeln, Patch für beide verketteten CVEs innerhalb von 72 Stunden einplanen.
• Prüfen lassen, ob bereits ein Zugriff erfolgt ist – dokumentiert für eine etwaige Meldung.
• Über eine dauerhafte Überwachung exponierter Sicherheits-Appliances entscheiden.

Fortinet PSIRT Advisory FG-IR-25-513 (CVE-2025-58034) · NVD (CVSS 3.1 Basiswert 7,2) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 18.11.2025, Frist 25.11.2025) · Fortinet-Advisory FG-IR-25-910/CVE-2025-64446 (verkettete Schwachstelle). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.