Swiss KMU Cyber-Alert: FortiGate – aktiv ausgenutzte Admin-Lücke ermöglicht Root-Zugriff
FortiGate-Firewalls werden auch in kleinen und mittleren Unternehmen häufig direkt oder über einen IT-Dienstleister eingesetzt. CISA führt CVE-2025-61624 seit dem 16. Oktober 2026 als aktiv ausgenutzt; die Lücke kann einen bereits privilegierten FortiOS-Administrator bis zur Root-Kontrolle über das Gerät bringen.
Es handelt sich nicht um einen Angriff ohne Anmeldung. Falls Ihr Unternehmen FortiGate nutzt, sollte Ihr IT-Dienstleister trotzdem jetzt den FortiOS-Stand, privilegierte Zugänge und mögliche Spuren einer Kompromittierung prüfen.
Was ist passiert?
Fortinet beschreibt CVE-2025-61624 als Pfadmanipulation in der Kommandozeile von FortiOS und weiteren Produkten. Ein Angreifer mit einem privilegierten, angemeldeten Administratorkonto und Schreibrechten kann damit beliebige Dateien schreiben oder löschen.
Unit 42 veröffentlichte am 14. Oktober 2026 Details zu einem untersuchten Angriff: Nach einer vorausgegangenen Kompromittierung von FortiManager und dem Zugriff auf gültige Zugangsdaten nutzten die Angreifer CVE-2025-61624, um von der eingeschränkten FortiOS-Administration auf Root-Rechte zu eskalieren und das speicherresident arbeitende Implantat PEERSTITCH einzuschleusen. CISA nahm die Lücke am 16. Oktober 2026 in den KEV-Katalog auf.
Könnte mein Unternehmen betroffen sein?
Ja, wenn Ihr Unternehmen oder Ihr IT-Dienstleister FortiGate-Firewalls mit einem betroffenen FortiOS-Stand betreibt. Betroffen sind FortiOS 7.6.0 bis 7.6.4, 7.4.0 bis 7.4.9 sowie sämtliche Versionen der Zweige 7.2, 7.0 und 6.4. FortiPAM, FortiProxy und FortiSwitchManager sind ebenfalls betroffen; die genauen Versionsstände stehen im Fortinet-Advisory.
Für eine Ausnutzung benötigt der Angreifer bereits ein privilegiertes Administratorkonto. Besonders relevant ist die Prüfung deshalb bei Firewalls, die zentral über FortiManager oder durch einen externen IT-Dienstleister verwaltet werden, sowie nach verdächtigen Admin-Anmeldungen oder früheren Fortinet-Vorfällen.
Was sollten Sie jetzt tun?
Beauftragen Sie Ihren IT-Dienstleister heute mit einer Bestands-, Versions- und Kompromittierungsprüfung. FortiOS 7.6 sollte mindestens auf 7.6.5, FortiOS 7.4 mindestens auf 7.4.10 aktualisiert werden. Systeme auf 7.2, 7.0 oder 6.4 müssen gemäss Fortinet auf einen korrigierten, unterstützten Release migriert werden.
Lassen Sie zusätzlich privilegierte Konten, zentrale Verwaltungswege und Ereignisprotokolle auf unübliche Änderungen prüfen. Wenn FortiManager, Administrator-Zugangsdaten oder kryptografisches Vertrauensmaterial möglicherweise offengelegt wurden, reicht ein Firmwareupdate allein nicht: Dann sind eine Incident-Response-Prüfung und die kontrollierte Erneuerung betroffener Zugangsdaten, Schlüssel und Zertifikate nötig.
Wie dringend ist es?
Hoch für betroffene FortiGate-Systeme, insbesondere bei zentraler Verwaltung oder Hinweisen auf missbrauchte Admin-Zugänge. Die Lücke hat mit CVSS 5.4 nur eine mittlere Basiseinstufung, wird aber nachweislich in realen Angriffen zur Eskalation auf Root-Rechte eingesetzt. Sie ist kein eigenständiger Angriff ohne Anmeldung; der Täter benötigt bereits privilegierten FortiOS-Zugang.
Informationen für Ihren IT-Dienstleister
CVE-2025-61624, CWE-22, CVSS v3.1: 5.4. Angriffsweg: authentifizierter, privilegierter FortiOS-Administrator mit mindestens Schreibrechten → Pfadmanipulation in system.auto-script beziehungsweise bestehenden CLI-Befehlen → beliebiges Schreiben oder Löschen von Dateien als Root.
Korrigierte FortiOS-Zweige: 7.6.5 oder neuer und 7.4.10 oder neuer; ältere betroffene Zweige müssen auf einen korrigierten Release migriert werden. Für FortiProxy gelten 7.6.5 oder neuer beziehungsweise 7.4.12 oder neuer, für FortiPAM 1.8.0 oder neuer beziehungsweise 1.7.1 oder neuer und für FortiSwitchManager 7.2.8 oder neuer beziehungsweise 7.0.7 oder neuer. Die Unit-42-Indikatoren und Erkennungshinweise zu PEERSTITCH sollten in die Kompromittierungsprüfung einbezogen werden.
