Fortinet FortiOS: SSL-VPN Patch-Bypass aktiv ausgenutzt

Am 27. Juli 2026 hat die US-Behörde CISA die Schwachstelle CVE-2025-68686 in den Known Exploited Vulnerabilities-Katalog aufgenommen. Betroffen ist die SSL-VPN-Komponente von Fortinet FortiOS. Die Schwachstelle ermöglicht es einem Angreifer, einen bereits veröffentlichten Sicherheitspatch zu umgehen und persistenzübergriffenen Zugriff auf betroffene Systeme zu behalten.

Was ist passiert?

Im Februar 2026 veröffentlichte Fortinet den Advisory FG-IR-25-934 mit einem Patch gegen einen sogenannten Symlink-Persistence-Mechanismus. Dieser Mechanismus wurde bei früheren Angriffen auf Fortinet-Firewalls eingesetzt, um nach einer initialen Kompromittierung dauerhaften Zugriff zu sichern. Der Patch sollte genau dieses Verhalten verhindern.

CVE-2025-68686 zeigt nun, dass dieser Patch umgangen werden kann. Ein Angreifer, der bereits über eine andere Schwachstelle Dateisystem-Zugriff auf eine FortiOS-Firewall erlangt hat, kann mit manipulierten HTTP-Anfragen den Symlink-Persistence-Mechanismus erneut aktivieren. Der aktualisierte Patch wurde am 12. März 2026 nachgeschoben.

Wer ist betroffen?

Betroffen sind folgende FortiOS-Versionen:

1. FortiOS 7.6.0 bis 7.6.1
2. FortiOS 7.4.0 bis 7.4.6
3. FortiOS 7.2 (alle Versionen)
4. FortiOS 7.0 (alle Versionen)
5. FortiOS 6.4 (alle Versionen)

Betroffen sind alle FortiGate-Firewalls, die SSL-VPN aktiviert haben und auf einer der genannten Versionen laufen. Nicht betroffen sind Systeme ohne SSL-VPN oder solche, die bereits den aktualisierten Patch vom März 2026 eingespielt haben.

Wie kritisch ist das?

Der CVSS-Score liegt bei 5,3 (mittel). Das klingt harmlos, aber die Einordnung ist irreführend. Die Schwachstelle ist nur für Angreifer nutzbar, die bereits Dateisystem-Zugriff haben. Das klingt nach einer hohen Angriffshürde, aber bei Fortinet-Firewalls gibt es seit 2024 wiederholt Schwachstellen, die genau diesen initialen Zugriff ermöglichen. Der CISA-KEV-Eintrag vom 27. Juli 2026 bestätigt, dass die Schwachstelle aktiv in der Natur ausgenutzt wird.

Für Unternehmen mit Fortinet-Firewalls, die SSL-VPN anbieten, ist die Kombination aus bekannter Ausnutzung und einfachem Patch-Umgehen ein ernstes Risiko.

Was sollten Admins jetzt tun?

1. Prüfen Sie zuerst, ob SSL-VPN aktiv ist: Auf der FortiOS-Konsole mit show vpn ssl settings prüfen. Ohne SSL-VPN ist die Schwachstelle nicht relevant.
2. FortiOS-Version prüfen: Mit get system status die aktuelle Version anzeigen. Liegt sie unter 7.6.2, 7.4.7 oder unter dem jeweiligen Fix, ist ein Update nötig.
3. Patch einspielen: Fortinet hat für jede betroffene Version einen Fix bereitgestellt. Der aktuellste Stable-Release ist zu bevorzugen.
4. Kompromittierungsspuren prüfen: Die Logs auf verdächtige Symlink-Aktivitäten im SSL-VPN-Verzeichnis untersuchen. Die Fortinet-Advisory FG-IR-25-934 enthält spezifische Indikatoren.
5. VPN-Zugangsdaten rotieren: Nach einem Patch sollte mindestens die Session-Bereinigung erfolgen, besser eine vollständige Passwort-Rotation für alle VPN-Benutzer.
6. Netzwerk-Segmentierung prüfen: Stellen Sie sicher, dass das VPN-Netzwerk vom internen Produktionsnetzwerk getrennt ist, um den Schaden bei einer Kompromittierung zu begrenzen.

Einordnung für Unternehmen

Fortinet-Firewalls gehören zu den am weitesten verbreiteten Sicherheitslösungen im KMU-Segment. Viele Unternehmen bieten ihren Mitarbeitern Remote-Zugriff über SSL-VPN an, insbesondere seit der Pandemie. Die aktive Ausnutzung dieser Schwachstelle zeigt, dass Angreifer gezielt nach persistenzübergriffenem Zugriff auf Perimeter-Systeme suchen. Ein unkontrollierter VPN-Zugang kann als Sprungbrett für Ransomware-Angriffe dienen. Das BSI hat bereits im April 2025 vor persistierenden Kompromittierungen bei FortiOS gewarnt.

Passende Anleitungen auf S-EDV

1. Fortinet FortiSandbox: CISA KEV RCE-Patches - Weitere aktuelle Fortinet-Sicherheitslücken mit konkreten Admin-Maßnahmen.
2. Fortinet Firewalls: Zugänge kompromittiert - Hintergrund zu persistierenden Kompromittierungen bei FortiGate-Systemen.

Quellen

1. Fortinet PSIRT Advisory FG-IR-25-934
2. NVD CVE-2025-68686
3. CISA KEV-Katalog