Die aktiv ausgenutzten FortiOS-Auth-Bypass-Lücken CVE-2024-55591 und CVE-2025-24472 betreffen FortiOS 7.0.0 bis 7.0.16. Angreifer erlangen darüber Super-Admin-Rechte, ohne ein gültiges Login zu kennen. Sofortmaßnahme: auf FortiOS 7.0.17 oder höher aktualisieren und den Admin-Zugang aus dem Internet nehmen. Deine laufende Version zeigt der Befehl get system status. Im Dezember 2025 kam mit der SAML-SSO-Lücke CVE-2025-59718 eine weitere, ebenfalls aktiv ausgenutzte Schwachstelle dazu.
FortiGate ist die Firewall-Appliance von Fortinet, FortiOS das Betriebssystem darauf. Ein Authentication Bypass (Authentifizierungs-Umgehung) bedeutet: Das Gerät lässt jemanden ohne korrektes Passwort an Funktionen, die eigentlich nur ein angemeldeter Administrator nutzen darf. Bei den FortiOS-Lücken landet ein Angreifer direkt mit den höchsten Rechten auf dem Gerät — und damit zwischen Internet und deinem internen Netz.
Bin ich betroffen? Version prüfen
Zuerst die Diagnose, bevor du irgendetwas änderst. Öffne die CLI deiner FortiGate (über SSH oder die Konsole im Web-GUI) und gib ein:
get system statusIn der Ausgabe steht die Zeile Version: FortiGate-… v7.0.x. Vergleiche sie mit dieser Übersicht der bekannten Auth-Bypass-Lücken:
| Schwachstelle | Betroffen | Behoben ab |
|---|---|---|
| CVE-2024-55591 / CVE-2025-24472 (FortiOS) | FortiOS 7.0.0 – 7.0.16 | FortiOS 7.0.17 |
| CVE-2024-55591 / CVE-2025-24472 (FortiProxy) | 7.0.0 – 7.0.19 und 7.2.0 – 7.2.12 | 7.0.20 bzw. 7.2.13 |
| CVE-2025-59718 / CVE-2025-59719 (SAML-SSO) | laut Fortinet-Advisory geprüfte FortiOS/FortiProxy-Stände | jeweils aktueller Patch (Dez. 2025) |
| CVE-2020-12812 (SSL-VPN-2FA) | ältere 6.x-Stände | FortiOS 6.0.10 / 6.2.4 / 6.4.1 |
Liegt deine Version im betroffenen Bereich und ist das Web-GUI oder der SSL-VPN-Port aus dem Internet erreichbar, musst du davon ausgehen, dass das Gerät ein lohnendes Ziel ist. Anfang 2026 waren laut Sicherheitsforschern noch über 9.700 ungepatchte Fortinet-Instanzen offen im Netz erreichbar.
Anzeige
Schritt für Schritt absichern
- Konfiguration sichern. Vor jedem Firmware-Update ein Backup ziehen: im Web-GUI über den Admin-Button oben rechts → Configuration → Backup, oder per CLI
execute backup config. Ohne Backup kein Update. - Firmware aktualisieren. Im Web-GUI unter System → Firmware die nächste sichere Version einspielen (z. B. FortiOS 7.0.17 oder höher). Fortinet empfiehlt, nur eine Major-Version pro Schritt zu überspringen — den passenden Upgrade-Pfad zeigt das Tool Fortinet Upgrade Path.
- Admin-Zugang aus dem Internet nehmen. Deaktiviere HTTP, HTTPS und SSH auf den nach außen gerichteten Interfaces. In der Interface-Konfiguration unter Administrative Access die Häkchen für die WAN-Schnittstelle entfernen. Management gehört ins interne Netz oder hinter ein VPN.
- Trusted Hosts setzen. Schränke jedes Admin-Konto auf feste Quell-IP-Bereiche ein (System → Administrators → Trusted Hosts). Dann zählt selbst ein gültiges Passwort nur aus deinem Verwaltungsnetz.
- Admin-Passwörter erneuern. Nach einem Patch alle lokalen Admin-Passwörter ändern und ungenutzte Konten löschen — falls bereits Zugangsdaten abgegriffen wurden, sind sie damit wertlos.
Wenn du nicht sofort patchen kannst
Ein Firmware-Update braucht ein Wartungsfenster, das du nicht immer in Minuten bekommst. Bis dahin senkst du das Risiko deutlich, indem du die Angriffsfläche schließt:
- Web-GUI und SSL-VPN vom Internet trennen: Solange die Verwaltungsschnittstelle nicht öffentlich erreichbar ist, läuft der Auth-Bypass ins Leere. Das ist die wirksamste Sofortmaßnahme ohne Reboot.
- Auf Kompromittierungs-Spuren prüfen: Sieh im Log nach unbekannten Admin- oder lokalen Benutzern, plötzlich geänderten Firewall-Regeln oder neuen SSL-VPN-Konten. Genau das legen die Angreifer nach einem erfolgreichen Bypass an. Bei der SAML-SSO-Lücke wurde beobachtet, dass Angreifer per GUI die komplette Gerätekonfiguration exportierten.
- Fortinet-Hinweise abgleichen: Die konkreten Indicators of Compromise stehen im jeweiligen Fortinet Security Advisory und in der CISA-Warnung zur jeweiligen CVE. Findest du Treffer, behandle das Gerät als kompromittiert: isolieren, neu aufsetzen, Zugangsdaten tauschen.
Hintergrund: Warum ein Auth-Bypass so gefährlich ist
Eine Firewall steht per Definition an der Grenze zwischen außen und innen. Ihr Verwaltungszugang ist deshalb das wertvollste Ziel im Netz: Wer dort administrativen Zugriff erlangt, kann Regeln umschreiben, Tunnel ins interne Netz aufbauen und Datenverkehr mitlesen. Bei einem Authentication Bypass entfällt genau die Schranke, die das verhindern soll — das System akzeptiert eine Anfrage, die es eigentlich abweisen müsste.
Für die IHK-Prüfung lässt sich das gut an den vier Schutzzielen festmachen: Ein Auth-Bypass verletzt vor allem die Vertraulichkeit (Unbefugte lesen mit) und die Integrität (Regeln und Konten werden manipuliert), und ein darauf folgender Ausfall trifft die Verfügbarkeit. Genau deshalb stuft das CVSS-System solche Lücken so hoch ein und Behörden wie die CISA setzen Patch-Fristen.
Die praktische Lehre aus der Fortinet-Serie 2024–2026: Kritische Lücken werden oft schon wenige Tage nach dem Patch ausgenutzt — bei der SAML-SSO-Lücke vergingen nur drei Tage. Ein nach außen offener Management-Zugang ist deshalb keine Bequemlichkeit, sondern ein offenes Tor. Verwaltung gehört ins interne Netz, Updates gehören zeitnah eingespielt, und nach jedem kritischen Advisory lohnt der kurze Blick mit get system status.
Häufige Fragen
Welche FortiOS-Versionen sind vom Auth-Bypass betroffen?
CVE-2024-55591 und CVE-2025-24472 betreffen FortiOS 7.0.0 bis 7.0.16. Behoben ist das ab FortiOS 7.0.17. FortiProxy ist bis 7.0.19 bzw. 7.2.12 verwundbar und ab 7.0.20 bzw. 7.2.13 gepatcht.
Wie prüfe ich, welche FortiOS-Version läuft?
In der CLI der FortiGate den Befehl get system status eingeben. Die Zeile Version zeigt den genauen FortiOS-Stand, den du mit den verwundbaren Versionsbereichen abgleichst.
Was ist ein Authentication Bypass?
Eine Schwachstelle, durch die jemand geschützte Funktionen erreicht, ohne sich korrekt anzumelden. Bei den FortiOS-Lücken erhält ein Angreifer ohne gültiges Passwort direkt Super-Admin-Rechte auf der Firewall.
Was tun, wenn ich nicht sofort patchen kann?
Nimm das Web-GUI und den SSL-VPN aus dem Internet, beschränke den Admin-Zugang per Trusted Hosts auf interne IPs und prüfe die Logs auf unbekannte Konten oder geänderte Regeln. Das senkt das Risiko bis zum Update deutlich.
Woran erkenne ich eine kompromittierte FortiGate?
Verdächtig sind neu angelegte Admin- oder lokale Benutzer, plötzlich geänderte Firewall-Regeln, unbekannte SSL-VPN-Konten und Konfigurations-Exporte im Log. Bei Treffern das Gerät isolieren, neu aufsetzen und alle Zugangsdaten tauschen.
