Ein nicht authentifizierter Angreifer aus dem Internet kann mit einer gefälschten SAML-Nachricht die FortiCloud-SSO-Anmeldung umgehen und sich als Administrator anmelden – ohne Zugangsdaten. Beobachtete Angreifer laden unmittelbar die System-Konfiguration herunter, die gehashte Zugangsdaten enthält. Voraussetzung ist der aktivierte FortiCloud-SSO-Login; er wird bei der FortiCare-Registrierung eines Geräts stillschweigend eingeschaltet, sofern der Administrator ihn nicht ausdrücklich abschaltet.
Advisory als PDF herunterladenDie betroffenen Geräte prüfen die kryptografische Signatur der SAML-Antwort des FortiCloud-Identity-Providers nicht ordnungsgemäß (CWE-347). Dadurch akzeptiert der SSO-Login-Dienst eine gefälschte SAML-Nachricht ohne gültige Signatur und meldet den Angreifer als vorhandenes Konto an – in der Praxis als admin. Angreifbar ist nur, wer den FortiCloud-SSO-Login aktiv hat; dieser wird bei der Geräte-Registrierung an FortiCare eingeschaltet, wenn der Schalter „Allow administrative login using FortiCloud SSO" nicht ausdrücklich deaktiviert wird.
| Produkt · Zweig | Verwundbar | Fixversion |
|---|---|---|
| FortiOS 7.6 | 7.6.0 – 7.6.3 | 7.6.4 |
| FortiOS 7.4 | 7.4.0 – 7.4.8 | 7.4.9 |
| FortiOS 7.2 | 7.2.0 – 7.2.11 | 7.2.12 |
| FortiOS 7.0 | 7.0.0 – 7.0.17 | 7.0.18 |
| FortiProxy 7.6 | 7.6.0 – 7.6.3 | 7.6.4 |
| FortiProxy 7.4 | 7.4.0 – 7.4.10 | 7.4.11 |
| FortiProxy 7.2 | 7.2.0 – 7.2.14 | 7.2.15 |
| FortiProxy 7.0 | 7.0.0 – 7.0.21 | 7.0.22 |
| FortiSwitchManager 7.2 | 7.2.0 – 7.2.6 | 7.2.7 |
| FortiSwitchManager 7.0 | 7.0.0 – 7.0.5 | 7.0.6 |
| FortiWeb | eigene CVE-2025-59719 | siehe Hinweis |
FortiWeb ist von derselben Schwachstellenklasse betroffen, wird aber unter der Schwester-CVE CVE-2025-59719 geführt (Fix ab 7.6.5 / 7.4.10 / 8.0.1). NVD listet zusätzlich Siemens RUGGEDCOM APE1808 (bettet FortiOS ein) als betroffen. Exakte Build-Ranges gegen das Fortinet-Advisory FG-IR-25-647 des eigenen Zweigs abgleichen.
Regulatorischer Hinweis: Ein bestätigter unbefugter Administrator-Zugriff – insbesondere mit Konfig-Export und dadurch offengelegten Zugangsdaten – kann eine meldepflichtige Verletzung darstellen: DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Mitigation vor Patch, Patch vor Entwarnung.
get system global | grep admin-forticloud-sso-loginconfig system global
set admin-forticloud-sso-login disable
end7.0.18 · 7.2.12 · 7.4.9 · 7.6.4, FortiProxy 7.0.22 · 7.2.15 · 7.4.11 · 7.6.4, FortiSwitchManager 7.0.6 · 7.2.7.CVE-2025-59719 separat einspielen (Fix ab 7.6.5 / 7.4.10 / 8.0.1). Management-Interfaces grundsätzlich nicht offen ins Internet stellen.FortiCloud SSO-Anmeldung am admin-Konto aus unerwarteten Quell-IPs, ohne vorherige legitime SSO-NutzungZur Einordnung: Fortinet und die Analysten haben keine stabilen Netz-IoCs (IPs/Hashes) veröffentlicht. Die Erkennung läuft über die Authentifizierungs-Logs und einen Abgleich der Gerätekonfiguration – kein Ersatz für die eigene Log-Analyse.
Wichtig: Erfolgreiche Angriffe erscheinen als reguläre FortiCloud-SSO-Anmeldung an einem gültigen admin-Konto – ohne Alarm. Wurde die Konfiguration exportiert, müssen sämtliche darin enthaltenen Zugangsdaten als offengelegt gelten und rotiert werden. Ohne kontinuierliche Auswertung der Auth-Logs bleibt ein bereits erfolgter Zugriff unsichtbar.
Fortinet PSIRT Advisory FG-IR-25-647 · NIST NVD CVE-2025-59718 · CISA Known Exploited Vulnerabilities Catalog (Aufnahme 16.12.2025) · Rapid7 Emergent Threat Report. Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Die FortiCloud-SSO-Admin-Anmeldung aus fremden Quellen und der unmittelbare Konfig-Export. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.