Die lokale Programmierschnittstelle von FortiClient prüft nicht ausreichend, woher Anfragen kommen. Ein Angreifer ohne Anmeldung kann dadurch auf dem Endgerät Code oder Befehle ausführen, wenn das Opfer dabei mitwirkt. Fortinet hat die Lücke am 10.11.2026 mit FortiClient 7.4.8 und 7.2.15 geschlossen; eine Ausnutzung ist bislang nicht bekannt.
Advisory als PDF herunterladenFortiClient stellt auf dem Endgerät eine lokale API-Schnittstelle bereit. Diese prüft die Herkunft eingehender Anfragen nicht ausreichend (CWE-346, Origin Validation Error). Ein nicht authentifizierter Angreifer kann dadurch aus der Ferne Code oder Befehle ausführen lassen, Voraussetzung ist eine Handlung des Opfers. Fortinet ordnet die Auswirkung als Rechteausweitung ein und nennt keine weiteren technischen Details.
| Produkt · Zweig | Verwundbar | Fixversion |
|---|---|---|
| Windows 7.4 | 7.4.0 bis 7.4.7 | 7.4.8 |
| Windows 7.2 | 7.2.0 bis 7.2.14 | 7.2.15 |
| Mac 7.4 | 7.4.0 bis 7.4.7 | 7.4.8 |
| Windows PAM | bis 7.4.7 / 7.2.14 | 7.4.8 / 7.2.15 |
| 8.0 · Mac 7.2 | nicht betroffen | — |
Angaben laut Fortinet-Advisory FG-IR-26-194. Fortinet nennt keinen Workaround und keinen virtuellen Patch. Die Ausnutzung setzt eine Interaktion des Opfers voraus. Das CVE-Record nennt für Windows PAM nur 7.4.7 und 7.2.14, das Advisory die vollen Zweige – maßgeblich ist das Advisory.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf Endgeräte mit personenbezogenen Daten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Inventar vor Patch, Patch vor Entwarnung.
7.2.0–7.2.14 und 7.4.0–7.4.7, Mac 7.4.0–7.4.7, Windows PAM in denselben Zweigen. Version 8.0 ist nicht betroffen.7.4.8 bzw. 7.2.15 oder auf 8.0 aktualisieren, zentral über EMS verteilen. Mobile und selten verbundene Geräte gezielt nachverfolgen.Zur Einordnung: Es liegen keine CVE-spezifischen Indikatoren vor. Die genannten Muster sind Ansatzpunkte für eine Auswertung, keine bestätigten Signaturen.
Wichtig: Der VPN-Client läuft auf vielen Geräten mit hohen Rechten und wird selten aktiv überwacht. Ohne Endgeräte-Erkennung bleibt ein Missbrauch der Client-Schnittstelle unsichtbar.
Fortinet PSIRT FG-IR-26-194 (10.11.2026, Fixversionen, CVSS 9,1 inkl. Zeitfaktoren) · NVD (CVSS 3.1 Basiswert 9,6) · CVE-Eintrag mit CISA-ADP-SSVC (Exploitation: none, Automatable: no) · CISA KEV (Stand 10.11.2026: nicht gelistet). Stand 10.11.2026. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind noch keine Kompromittierungs-Indikatoren veröffentlicht. Besteht Verdacht auf einen Angriff, prüfen wir, ob ein System bereits betroffen ist. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Ein Shell-Prozess, der von einem FortiClient-Dienst gestartet wird. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Auf verwalteten Endpunkten lässt sich eine Ausnutzung nachgelagert erkennen und eingrenzen, auch wenn der Patch noch nicht überall ausgerollt ist.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.