SECURITY ADVISORY

Unauthentifizierte SQL-Injektion in Fortinet FortiClient EMS

Ein nicht authentifizierter Angreifer aus dem Internet kann über eine speziell präparierte HTTP-Anfrage SQL-Befehle in die Administrationsschnittstelle von FortiClient EMS einschleusen und unbefugt Code oder Kommandos ausführen – ohne Anmeldung, mit voller Wirkung auf das System. Die Lücke wird seit März 2026 aktiv ausgenutzt und steht im CISA-KEV-Katalog.

CVE-ID

CVE-2026-21643

CVSS

9,8

Schweregrad

Kritisch

Hersteller

Fortinet

Produkt

FortiClient Endpoint Management Server (EMS)

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Die administrative Schnittstelle von FortiClient EMS übergibt einen aus der HTTP-Anfrage stammenden Wert – den zur Mandanten-Zuordnung genutzten Header – ungefiltert an eine Datenbankabfrage, und zwar vor jeder Anmeldeprüfung. Ein Angreifer kann dadurch eigene SQL-Anweisungen in die Abfrage einschleusen (CWE-89) und über die Datenbank unbefugt Code oder Betriebssystem-Kommandos ausführen – ohne gültiges Konto.

Angriffskette

  1. EMS exponiert – die administrative Schnittstelle ist aus dem Internet erreichbar
  2. Header manipulieren – SQL-Payload in den Mandanten-Header der HTTP-Anfrage einbetten
  3. Injektion vor Login – die ungeprüfte Abfrage wird ohne Authentifizierung ausgeführt
  4. Ausführung – unbefugte Code-/Kommando-Ausführung bis zur Server-Übernahme

Betroffene Versionen und Fixes

EMS-ZweigVerwundbarFixversion
7.4nur 7.4.47.4.5
7.2nicht betroffen
8.0nicht betroffen

Betroffen ist ausschließlich FortiClient EMS 7.4.4; die Zweige 7.2 und 8.0 sind laut Fortinet nicht angreifbar. Exponiert ist vor allem, wer die EMS-Administrationsschnittstelle aus dem Internet erreichbar hält. Die exakte Version gegen das Hersteller-Advisory FG-IR-25-1142 abgleichen.

Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf den zentralen Management-Server kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • 06.02.2026 – Fortinet veröffentlicht Advisory FG-IR-25-1142
  • März 2026 – Aktive Ausnutzung in der Wildnis beobachtet
  • 13.04.2026 – CISA KEV · PoC öffentlich verfügbar
  • Seither – Fortlaufende Ausnutzung exponierter EMS-Instanzen

Maßnahmenplan

In dieser Reihenfolge – Perimeter absichern vor Patch, Patch vor Entwarnung.

  • Sofort: Adminschnittstelle vom Internet trennen
  • Kurzfristig: Patch einspielen
  • Parallel: Threat Hunting / Log-Analyse
  1. Betroffenheit feststellen
    Installierte FortiClient-EMS-Version prüfen: Nur 7.4.4 ist angreifbar. Zweige 7.2 und 8.0 sind nicht betroffen. Zusätzlich klären, ob die EMS-Administrationsschnittstelle aus dem Internet erreichbar ist – das erhöht die Dringlichkeit erheblich.
  2. Sofort absichern (vor dem Patch)
    Fortinet nennt keinen Workaround. Bis zum Patch die administrative Schnittstelle vom Internet trennen bzw. den Zugriff strikt auf vertrauenswürdige Quell-Netze/VPN einschränken und vorgelagerte Web-Filter/WAF-Regeln gegen SQL-Injektionsmuster aktivieren.
  3. Patchen
    Auf FortiClient EMS 7.4.5 oder höher aktualisieren. Das ist die vom Hersteller bestätigte Fixversion für den 7.4-Zweig.
  4. Kompromittierung ausschließen
    Zugriffs- und Datenbank-Logs der EMS auf ungewöhnliche HTTP-Anfragen an die Adminschnittstelle, SQL-Fehler und neu angelegte oder veränderte Administratorkonten durchsuchen. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.
  5. Verwaltete Endpunkte bewerten
    Da EMS die FortiClient-Endpunkte zentral steuert, bei Verdacht auf Kompromittierung Richtlinien-, Zertifikats- und Deployment-Integrität prüfen und ggf. Anmeldedaten/Token rotieren.

Kompromittierungs-Indikatoren

  • Angriffsziel: HTTP(S)-Anfragen an die EMS-Administrationsschnittstelle aus unerwarteten Quellen
  • Injektions-Marker: SQL-Syntax im Mandanten-/Tenant-Header der Anfrage
    anomale DB-Fehler in den EMS-Logs
  • Folge-Spuren: neu angelegte / veränderte Admin-Konten
    unerwartete Prozess-/Kommandoausführung auf dem EMS-Host

Zur Einordnung: Fortinet und CISA haben zum Stand dieses Advisories keine belastbaren netzbasierten IoCs (Quell-IPs, Hashes) in den Primärquellen veröffentlicht. Die genannten Marker sind Erkennungshinweise, kein abschließender IoC-Satz – maßgeblich ist die Analyse Ihrer EMS-Zugriffs- und Datenbank-Logs.

Wichtig: Die Injektion greift vor der Anmeldung und kann in regulären HTTP-Logs unauffällig wirken. Ohne gezielte Auswertung der EMS-Zugriffs- und Datenbank-Logs bleibt ein bereits erfolgter Zugriff leicht unsichtbar.

Empfehlung für die Geschäftsleitung

  • Adminschnittstelle heute vom Internet trennen, Patch auf 7.4.5 innerhalb von 72 Stunden einplanen.
  • Prüfen lassen, ob bereits ein Zugriff erfolgt ist – dokumentiert für eine etwaige Meldung.
  • Über eine dauerhafte Überwachung des Perimeters und der Management-Server entscheiden.

Primärquellen

Fortinet PSIRT Advisory FG-IR-25-1142 (CVE-2026-21643) · NVD CVE-2026-21643 · CISA Known Exploited Vulnerabilities Catalog. Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion (7.4.5) und Betroffenheit gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale Anfragen an die EMS-Adminschnittstelle und neu angelegte Administratorkonten. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • LAUFENDE LEISTUNG

    Endpoint Protection →

    Auf verwalteten Endpunkten lässt sich eine Ausnutzung nachgelagert erkennen und eingrenzen, auch wenn der Patch noch nicht überall ausgerollt ist.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.