Ein nicht authentifizierter Angreifer aus dem Internet kann über eine speziell präparierte HTTP-Anfrage SQL-Befehle in die Administrationsschnittstelle von FortiClient EMS einschleusen und unbefugt Code oder Kommandos ausführen – ohne Anmeldung, mit voller Wirkung auf das System. Die Lücke wird seit März 2026 aktiv ausgenutzt und steht im CISA-KEV-Katalog.
Advisory als PDF herunterladenDie administrative Schnittstelle von FortiClient EMS übergibt einen aus der HTTP-Anfrage stammenden Wert – den zur Mandanten-Zuordnung genutzten Header – ungefiltert an eine Datenbankabfrage, und zwar vor jeder Anmeldeprüfung. Ein Angreifer kann dadurch eigene SQL-Anweisungen in die Abfrage einschleusen (CWE-89) und über die Datenbank unbefugt Code oder Betriebssystem-Kommandos ausführen – ohne gültiges Konto.
| EMS-Zweig | Verwundbar | Fixversion |
|---|---|---|
| 7.4 | nur 7.4.4 | 7.4.5 |
| 7.2 | nicht betroffen | — |
| 8.0 | nicht betroffen | — |
Betroffen ist ausschließlich FortiClient EMS 7.4.4; die Zweige 7.2 und 8.0 sind laut Fortinet nicht angreifbar. Exponiert ist vor allem, wer die EMS-Administrationsschnittstelle aus dem Internet erreichbar hält. Die exakte Version gegen das Hersteller-Advisory FG-IR-25-1142 abgleichen.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf den zentralen Management-Server kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Perimeter absichern vor Patch, Patch vor Entwarnung.
7.4.4 ist angreifbar. Zweige 7.2 und 8.0 sind nicht betroffen. Zusätzlich klären, ob die EMS-Administrationsschnittstelle aus dem Internet erreichbar ist – das erhöht die Dringlichkeit erheblich.FortiClient EMS 7.4.5 oder höher aktualisieren. Das ist die vom Hersteller bestätigte Fixversion für den 7.4-Zweig.EMS-Administrationsschnittstelle aus unerwarteten QuellenMandanten-/Tenant-Header der AnfrageAdmin-KontenZur Einordnung: Fortinet und CISA haben zum Stand dieses Advisories keine belastbaren netzbasierten IoCs (Quell-IPs, Hashes) in den Primärquellen veröffentlicht. Die genannten Marker sind Erkennungshinweise, kein abschließender IoC-Satz – maßgeblich ist die Analyse Ihrer EMS-Zugriffs- und Datenbank-Logs.
Wichtig: Die Injektion greift vor der Anmeldung und kann in regulären HTTP-Logs unauffällig wirken. Ohne gezielte Auswertung der EMS-Zugriffs- und Datenbank-Logs bleibt ein bereits erfolgter Zugriff leicht unsichtbar.
Fortinet PSIRT Advisory FG-IR-25-1142 (CVE-2026-21643) · NVD CVE-2026-21643 · CISA Known Exploited Vulnerabilities Catalog. Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion (7.4.5) und Betroffenheit gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale Anfragen an die EMS-Adminschnittstelle und neu angelegte Administratorkonten. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Auf verwalteten Endpunkten lässt sich eine Ausnutzung nachgelagert erkennen und eingrenzen, auch wenn der Patch noch nicht überall ausgerollt ist.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.