FortiCloud SSO Schwachstelle bei Authentifizierung (CVE-2026-24858)

In dieser Woche hat Fortinet eine dringend zu lesende Sicherheitswarnung veröffentlicht: eine kritische Authentifizierungs-Bypass-Schwachstelle in der FortiCloud Single Sign-On (SSO) Funktion, die aktiv in der Wildnis ausgenutzt wurde. Das betrifft FortiOS, FortiManager, FortiAnalyzer und FortiProxy, sofern FortiCloud-SSO aktiviert ist – und dieses Feature ist häufiger aktiv, als du denkst.

Worum geht es?

Die Schwachstelle, offiziell als Authentication Bypass Using an Alternate Path or Channel (CWE-288) klassifiziert (unter anderem CVE-2026-24858), ermöglicht es einem Angreifer mit einem eigenen FortiCloud-Konto und registriertem Gerät, sich auf anderen Geräten einzuloggen, die zu anderen Accounts gehören, wenn FortiCloud SSO aktiviert ist.

Das erschreckende daran: FortiCloud SSO ist nicht standardmäßig aktiviert, wird aber bei der Registrierung eines Gerätes über die GUI im FortiCare-Portal automatisch eingeschaltet, wenn der Admin den entsprechenden Schalter nicht explizit deaktiviert.

Was bedeutet das praktisch?

• Ein legitimer FortiCloud-Account + ein registriertes Gerät → reicht aus, um über FortiCloud SSO eventuell Admin-Zugriff auf fremde Geräte zu erhalten.
• Die Lücke wurde bereits aktiv missbraucht – Fortinet hat missbräuchliche FortiCloud-Konten gesperrt und die FortiCloud-SSO-Funktion auf Cloud-Seite temporär deaktiviert.
• Bei Wieder-Aktivierung wird FortiCloud SSO gegenüber Geräten mit verwundbaren Versionen blockiert, bis diese gepatcht sind.

Betroffene Produkte & Versionen

Die offizielle Advisory listet eine ganze Reihe von betroffenen Plattformen und Versionen auf, darunter:

Version

Affected

Solution

FortiAnalyzer 7.6

7.6.0 through 7.6.5

Upgrade to 7.6.6 or above

FortiAnalyzer 7.4

7.4.0 through 7.4.9

Upgrade to 7.4.10 or above

FortiAnalyzer 7.2

7.2.0 through 7.2.11

Upgrade to upcoming 7.2.12 or above

FortiAnalyzer 7.0

7.0.0 through 7.0.15

Upgrade to upcoming 7.0.16 or above

FortiAnalyzer 6.4

Not affected

Not Applicable

FortiManager 7.6

7.6.0 through 7.6.5

Upgrade to 7.6.6 or above

FortiManager 7.4

7.4.0 through 7.4.9

Upgrade to 7.4.10 or above

FortiManager 7.2

7.2.0 through 7.2.11

Upgrade to upcoming 7.2.13 or above

FortiManager 7.0

7.0.0 through 7.0.15

Upgrade to upcoming 7.0.16 or above

FortiManager 6.4

Not affected

Not Applicable

FortiOS 8.0

Not affected

Not Applicable

FortiOS 7.6

7.6.0 through 7.6.5

Upgrade to 7.6.6 or above

FortiOS 7.4

7.4.0 through 7.4.10

Upgrade to 7.4.11 or above

FortiOS 7.2

7.2.0 through 7.2.12

Upgrade to upcoming 7.2.13 or above

FortiOS 7.0

7.0.0 through 7.0.18

Upgrade to upcoming 7.0.19 or above

FortiOS 6.4

Not affected

Not Applicable

FortiProxy 7.6

7.6.0 through 7.6.4

Upgrade to upcoming 7.6.6 or above

FortiProxy 7.4

7.4.0 through 7.4.12

Upgrade to upcoming 7.4.13 or above

FortiProxy 7.2

7.2 all versions

Migrate to a fixed release

FortiProxy 7.0

7.0 all versions

Migrate to a fixed release

FortiWeb 8.0

8.0.0 through 8.0.3

Upgrade to upcoming 8.0.4 or above

FortiWeb 7.6

7.6.0 through 7.6.6

Upgrade to upcoming 7.6.7 or above

FortiWeb 7.4

7.4.0 through 7.4.11

Upgrade to upcoming 7.4.12 or above

FortiWeb 7.2

Not affected

Not Applicable

FortiWeb 7.0

Not affected

Not Applicable

Tipp: Nutze den Fortinet Upgrade-Tool-Assistenten, um die passende Fix-Version zu ermitteln.

Empfehlungen & Maßnahmen

1. FortiCloud SSO deaktivieren (sofern noch nicht gepatcht)

Per CLI (FortiOS / FortiProxy):

config system global set admin-forticloud-sso-login disable end

Alternativ über die GUI:
System > Settings > "Allow administrative login using FortiCloud SSO" deaktivieren

2. FortiCloud SSO auf FortiManager / FortiAnalyzer deaktivieren

Per CLI:

config system saml set forticloud-sso disable end

Diese Konfiguration deaktiviert die FortiCloud-SSO-Anmeldung für administrative Zugriffe auf FortiManager bzw. FortiAnalyzer.

3. Admin-Konten und Logs überprüfen

Prüfe bestehende Administratoren und Login-Logs auf Auffälligkeiten, insbesondere:

• Neu angelegte lokale Admin-Accounts
• Unbekannte oder generische Benutzernamen (z. B. audit, backup, remoteadmin)
• Login-Versuche von ungewöhnlichen IP-Adressen oder zu ungewöhnlichen Zeiten

Bei verdächtigen Aktivitäten sollten betroffene Accounts umgehend deaktiviert und Zugangsdaten rotiert werden.

Fazit

Diese Schwachstelle ist ein Reminders-Moment für jede moderne Infrastruktur:

• SSO spart Adminzeit – aber nur, wenn es richtig gehärtet ist.
• Standard-Einstellungen allein schützen nicht vor aktiv ausgenutzten Auth-Bypasses.
• Patchen Sie zeitnah, deaktivieren Sie temporär SSO und überwachen Sie die Admin-Zugänge kontinuierlich.

Fortinet hat reagiert – aber bis Ihree Systeme auf sicheren Versionen laufen, solltest Sie das Risiko so gering wie möglich halten.

Unter https://fortiguard.fortinet.com/psirt/FG-IR-26-060 finden Sie weitere Informationen zu Workarounds und Indikatoren für eine Ausnutzung der Schwachstelle.

Wenn Sie Unterstützung benötigen, wenden Sie sich bitte an service@enthus.de oder nutzen Sie komfortabel unser Ticketsystem unter https://enthus.de/portal/servicetickets

← Alle Beiträge