In der Kommandozeile von FortiOS, FortiProxy, FortiPAM und FortiSwitchManager prüft Fortinet Dateinamen in bestimmten Befehlen unzureichend: Wer bereits ein Admin-Konto mit Schreibrechten besitzt, kann per Verzeichniswechsel beliebige Dateien schreiben oder löschen – und so auf Root-Ebene ausbrechen. Fixes gibt es seit April 2026; im Oktober dokumentierte Unit 42 die Ausnutzung für ein verdecktes Implantat, CISA nahm die Lücke am 16. Oktober in den KEV-Katalog auf – mit forensischer Triage-Pflicht.
Advisory als PDF herunterladenFortiOS-Administratoren – auch ein super_admin – arbeiten in einer eingeschränkten Kommandozeile ohne Shell; die Dienste darunter laufen als Root. In bestimmten CLI-Befehlen prüft FortiOS nicht, ob übergebene Namen im vorgesehenen Verzeichnis bleiben (CWE-22) – laut Unit 42 etwa beim Objektnamen in config system auto-script: Ein Name mit ../ legt den Inhalt an beliebiger Stelle ab. Mit Admin-Profil und Schreibrechten erreicht ein Angreifer so Codeausführung als Root. Ohne gültiges Admin-Konto ist die Lücke nicht ausnutzbar – sie verlängert einen bereits erfolgten Einbruch.
| Produkt / Zweig | Verwundbar | Fixversion |
|---|---|---|
| FortiOS 7.6 / 7.4 | 7.6.0 – 7.6.4 · 7.4.0 – 7.4.9 | 7.6.5 · 7.4.10 |
| FortiOS 7.2 / 7.0 / 6.4 | alle Versionen | Migration auf gefixten Zweig |
| FortiProxy 7.6 / 7.4 | 7.6.0 – 7.6.4 · 7.4.0 – 7.4.11 | 7.6.5 · 7.4.12 (7.2/7.0: migrieren) |
| FortiPAM | 1.0 – 1.7.0 | 1.7.1 · 1.8 nicht betroffen |
| FortiSwitchManager | 7.2.0 – 7.2.7 · 7.0.0 – 7.0.6 | 7.2.8 · 7.0.7 |
Fixes seit FG-IR-26-122 vom 14.04.2026. Für FortiOS 7.2/7.0/6.4, FortiProxy 7.2/7.0 und FortiPAM 1.0–1.6 gibt es keinen Fix im eigenen Zweig – nur Migration. FortiSASE ist serverseitig behoben. Maßgeblich ist das Hersteller-Advisory.
Regulatorischer Hinweis: Ein Implantat auf der Firewall mit Zugriff auf Datenverkehr und VPN-Zugänge ist in der Regel meldepflichtig – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Forensik.
In dieser Reihenfolge – Admin-Zugänge härten, zügig patchen, Prüfung vor Entwarnung.
FortiOS 7.6.5 · 7.4.10 bzw. die Fixstände für FortiProxy, FortiPAM und FortiSwitchManager aktualisieren; Zweige ohne Fix als Migration einplanen. Fortinet bietet zusätzlich einen virtuellen Patch (FG-VD-59270.0day, FMWP 25.120).../ im Namen prüfen, Admin-Logs auf deren Anlage sichten, nach fremden Dateien unter /data2/template/ suchen. CISA verlangt eine forensische Triage.23.240.77.23347.18.167.159/data2/template/: lldprx, ipssem.js,index.js, index.wasm; fremde md-acme.conf../ im Namen,../../../../setup; SSL-VPN-LoginsZur Einordnung: Die Indikatoren stammen aus einer einzelnen Incident-Analyse von Unit 42 (Cluster CL-STA-0954); Fortinet selbst veröffentlicht keine IoCs. Das Implantat arbeitet im Arbeitsspeicher und ist leicht anpassbar – belastbarer als die Suche nach einzelnen Indikatoren ist die Prüfung der Auto-Script-Objekte und der Frage, wer wann mit Schreibrechten angemeldet war.
Wichtig: Diese Lücke öffnet keine Tür – sie macht aus einem bereits erbeuteten Admin-Zugang eine dauerhafte, kaum sichtbare Kontrolle über die Firewall. Wer nur patcht, ohne Admin-Zugänge und Auto-Scripts zu prüfen, übersieht genau diesen Fall.
Fortinet PSIRT Advisory FG-IR-26-122 · CVE-Record CVE-2025-61624 (Fortinet als CNA) · NVD CVE-2025-61624 · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 16.10.2026) · Unit 42, „Unit 42 Uncovers PEERSTITCH, a Stealthy FortiGate Implant“ (14.10.2026). Angaben nach bestem Wissen zum Stand 19.10.2026 (FG-IR-26-122, Erstveröffentlichung 14.04.2026) – gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Neue Auto-Script-Objekte und Admin-Anmeldungen mit Schreibrechten ohne Change sowie unerwartete Prozesse oder Dateien auf der Firewall. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
PROJEKT
Ältere Versionszweige haben hier keinen eigenen Fix, es bleibt nur die Migration. CTEM macht solche End-of-Life-Expositionen sichtbar und priorisiert die Upgrades.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.