Über den OFTP-Dienst senden FortiGate-Firewalls ihre Logs an FortiAnalyzer und FortiManager. Eine SQL-Injection in diesem Dienst erlaubt einem Angreifer ohne Anmeldung, der den OFTP-Port erreicht, mit präparierten OFTP-Paketen Code oder Befehle auszuführen. Fortinet hat die Lücke am 10.11.2026 in allen vier unterstützten Zweigen beider Produkte geschlossen; eine Ausnutzung ist bislang nicht bekannt.
Advisory als PDF herunterladenÜber das OFTP-Protokoll übertragen FortiGates Logs und Statusdaten an FortiAnalyzer bzw. an FortiManager. Laut Fortinet werden Inhalte empfangener OFTP-Pakete nicht ausreichend bereinigt, bevor sie in eine Datenbankabfrage einfließen (CWE-89, SQL Injection). Ein nicht authentifizierter Angreifer, der den OFTP-Port erreicht, kann so mit präparierten OFTP-Paketen Code oder Befehle auf dem System ausführen. Fortinet hat die Lücke intern gefunden und nennt keine weiteren technischen Details.
| Produkt · Zweig | Verwundbar | Fixversion |
|---|---|---|
| FortiAnalyzer 8.0 | 8.0.0 bis 8.0.1 | 8.0.2 |
| FortiAnalyzer 7.6 | 7.6.0 bis 7.6.7 | 7.6.8 |
| FortiAnalyzer 7.4 | 7.4.0 bis 7.4.11 | 7.4.12 |
| FortiAnalyzer 7.2 | 7.2.0 bis 7.2.12 | 7.2.13 |
| FortiManager 8.0 | 8.0.0 | 8.0.1 |
| FortiManager 7.6 | 7.6.0 bis 7.6.7 | 7.6.8 |
| FortiManager 7.4 | 7.4.0 bis 7.4.11 | 7.4.12 |
| FortiManager 7.2 | 7.2.0 bis 7.2.12 | 7.2.13 |
Angaben laut Fortinet-Advisory FG-IR-26-276. Fortinet nennt keinen Workaround und keinen virtuellen Patch. Ältere Zweige führt das Advisory nicht auf. Voraussetzung für einen Angriff ist, dass der OFTP-Port von FortiAnalyzer bzw. FortiManager erreichbar ist.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf die Log- oder Firewall-Verwaltung kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Erreichbarkeit vor Patch, Patch vor Entwarnung.
8.0.0–8.0.1, 7.6.0–7.6.7, 7.4.0–7.4.11, 7.2.0–7.2.12. FortiManager: 8.0.0, 7.6.0–7.6.7, 7.4.0–7.4.11, 7.2.0–7.2.12. Klären, von wo der OFTP-Port erreichbar ist.8.0.2, 7.6.8, 7.4.12 bzw. 7.2.13, FortiManager auf 8.0.1, 7.6.8, 7.4.12 bzw. 7.2.13 oder neuer aktualisieren. Vorher ein Konfigurations-Backup sichern.Zur Einordnung: Es liegen keine CVE-spezifischen Indikatoren vor. Die genannten Muster sind Ansatzpunkte für eine Auswertung, keine bestätigten Signaturen.
Wichtig: FortiAnalyzer und FortiManager bündeln die Sicherheitsprotokolle und Konfigurationen der angebundenen Firewalls. Wer sie übernimmt, sieht das Netz – und kann eigene Spuren verwischen.
Fortinet PSIRT FG-IR-26-276 (10.11.2026, Fixversionen, CVSS 9,3) · NVD (11.11.2026, CVSS 3.1 Basiswert 9,8) · CISA KEV (Stand 11.11.2026: nicht gelistet). Stand 11.11.2026. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Eine OFTP-Verbindung von einer unbekannten Adresse. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.