Fortinet hatte 2025 einen Angreifer-Trick entschärft, mit dem sich Zugriff auf FortiGate-Firewalls über einen versteckten Symlink dauerhaft halten ließ. Dieser Patch prüfte den Anfragepfad nur als Zeichenkette – ein zusätzlicher Schrägstrich genügt, um ihn zu umgehen. Wer irgendwann über eine ältere SSL-VPN-Lücke kompromittiert wurde, kann trotz aller Updates weiter unbemerkt ausgelesen werden. Die Schwachstelle steht seit dem 27. Juli 2026 im CISA-Katalog aktiv ausgenutzter Schwachstellen.
Advisory als PDF herunterladenIm April 2025 machte Fortinet öffentlich, dass Angreifer nach einer Erstkompromittierung im Ordner für die SSL-VPN-Sprachdateien einen symbolischen Link auf das Root-Dateisystem hinterlegten. Der Link überlebte jedes Firmware-Update und lieferte weiterhin lesenden Zugriff auf Gerätedateien. Der damalige Patch filterte Anfragen, indem er im Pfad nach der Zeichenkette /lang/custom suchte – eine reine Textprüfung ohne Pfad-Normalisierung. Ein zusätzlicher Schrägstrich (/lang//custom) läuft an dieser Prüfung vorbei, während der Webserver den Pfad identisch auflöst. Ergebnis: Der alte Persistenz-Weg ist wieder offen.
| FortiOS-Zweig | Verwundbar | Fixversion |
|---|---|---|
| 7.6 | 7.6.0 – 7.6.1 | 7.6.2 oder höher |
| 7.4 | 7.4.0 – 7.4.6 | 7.4.7 oder höher |
| 7.2 | alle Versionen | Migration auf 7.4.7 / 7.6.2 |
| 7.0 | alle Versionen | Migration auf 7.4.7 / 7.6.2 |
| 6.4 | alle Versionen | Migration auf 7.4.7 / 7.6.2 |
| SSL-VPN deaktiviert | nicht betroffen | — |
Fortinet stellt für die Zweige 7.2, 7.0 und 6.4 keinen eigenen Fix bereit – hier ist der Wechsel auf einen gefixten Zweig der einzige Weg. Geräte ohne aktivierten SSL-VPN-Dienst sind nicht betroffen. Exakte Build-Stände gegen FG-IR-25-934 abgleichen.
Regulatorischer Hinweis: Bestätigt sich ein unbefugter Zugriff auf die Konfiguration, kann darin eine meldepflichtige Verletzung liegen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Betroffenheit vor Patch, Patch vor Entwarnung.
get system status7.6.2 oder 7.4.7 (bzw. höher) aktualisieren. Für 7.2, 7.0 und 6.4 gibt es keinen Fix im eigenen Zweig – hier ist die Migration auf einen unterstützten Zweig erforderlich und ohnehin überfällig. Vorher Konfigurationssicherung ziehen.FG-VD-60389.0day, Update 26.033) an. Das ist ein Behelf, kein Ersatz für die Firmware-Aktualisierung. Zusätzlich den SSL-VPN-Zugang auf benötigte Quellen einschränken./lang//custom statt /lang/customCVE-2022-42475 · CVE-2023-27997 · CVE-2024-21762Zur Einordnung: Das Pfadmuster stammt aus der Veröffentlichung des Entdeckers (ITRES Labs) und ist von Fortinet nicht als offizieller Indikator bestätigt; es ist zudem trivial abwandelbar. Aussagekräftiger als die Suche nach einer Zeichenkette ist die Frage, ob das Gerät jemals über eine der genannten SSL-VPN-Lücken erreichbar war.
Wichtig: Der Zugriff ist rein lesend und hinterlässt keinen Anmeldevorgang – es gibt keinen fehlgeschlagenen Login, keinen Alarm, keine Sitzung. Wer nur auf Authentifizierungs-Ereignisse schaut, sieht diesen Abfluss nicht.
Fortinet PSIRT Advisory FG-IR-25-934 · NVD CVE-2025-68686 · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 27.07.2026) · Fortinet PSIRT-Blog „Analysis of Threat Actor Activity" vom 10.04.2025 · ITRES Labs, Offenlegung des Bypasses vom 11.02.2026. Angaben nach bestem Wissen zum Stand 03.08.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anfragen an die SSL-VPN-Sprachdatei-Pfade ohne zugehörige Anmeldung. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
PROJEKT
Ältere Versionszweige haben hier keinen eigenen Fix, es bleibt nur die Migration. CTEM macht solche End-of-Life-Expositionen sichtbar und priorisiert die Upgrades.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.