Fortinet Sicherheitslücke: Kritische Updates für FortiOS, Details erst im November

• Fortinet hat am 22. Oktober 2026 Sicherheitsupdates mit kritischen und hochriskanten Korrekturen für FortiOS, FortiManager und FortiAnalyzer veröffentlicht, zuvor bereits für FortiMail und FortiAuthenticator.
• CVE-Nummern und technische Details will Fortinet erst am 10. November veröffentlichen, weil Angreifer Patches mit KI-Werkzeugen inzwischen in Stunden oder Tagen auswerten können.
• Stand 23. Oktober sind keine Angriffe auf die neu behobenen Lücken bekannt, eine separate FortiMail-Lücke wird jedoch bereits aktiv ausgenutzt.
• Unternehmen sollten zuerst Geräte aktualisieren, die aus dem Internet erreichbar sind, und Verwaltungsoberflächen bis dahin vom Internet abschirmen.

Fortinet warnt vor einer neuen Fortinet Sicherheitslücke, genauer vor mehreren kritischen Schwachstellen in seinen wichtigsten Produkten. Am 21. Oktober 2026 hat der Hersteller seine Kunden in einem Beitrag von CISO Carl Windsor auf eine abgestimmte Reihe von Sicherheitsupdates vorbereitet. Am 22. Oktober folgten die neuen Versionen für FortiOS, FortiManager und FortiAnalyzer. Zuvor hatte Fortinet bereits Updates für FortiMail und FortiAuthenticator bereitgestellt.

Nach Angaben des Herstellers enthalten die Updates Korrekturen für kritische und hochriskante Schwachstellen. Fortinet bittet ausdrücklich darum, sie als vorrangige Änderung zu behandeln und nicht als gewöhnliche Wartung. Ein Teil der Lücken wurde nach Angaben von Fortinet durch ein eigenes, KI-gestütztes Testprogramm gefunden.

Ungewöhnlich ist, was fehlt: Bisher gibt es weder CVE-Nummern noch Bewertungen oder Beschreibungen der einzelnen Schwachstellen. Diese will Fortinet erst am Patchday am 10. November auf seiner PSIRT-Seite veröffentlichen.

Fortinet begründet das Vorgehen offen. Sobald ein Update öffentlich ist, können Angreifer vergleichen, was sich geändert hat, und daraus auf die Schwachstelle schließen. Mit KI-Werkzeugen gelingt das inzwischen in Stunden oder Tagen statt in Wochen. Ungepatchte Geräte werden dann schnell zu leichten Zielen. Zudem kann KI helfen, mehrere weniger schwere Lücken zu einem ernsten Angriff zu verketten.

Der Hersteller gibt seinen Kunden also bewusst einen Vorsprung von knapp drei Wochen, bevor die Details öffentlich werden. Diese Zeit sollten Unternehmen nutzen.

Fortinet nennt für jeden Versionszweig eine Mindestversion. Diese Versionen oder neuere sind abgesichert:

• FortiOS: 8.0.2, 7.6.8, 7.4.13 und 7.2.14
• FortiManager: 8.0.2, 7.6.8, 7.4.12 und 7.2.13
• FortiAnalyzer: 8.0.2, 7.6.8, 7.4.12 und 7.2.13
• FortiMail: 8.0.2, 7.6.7 und 7.4.9; wer noch FortiMail 7.2 einsetzt, sollte auf 7.4 oder neuer wechseln
• FortiAuthenticator: 8.0.4 und 6.6.11

Achten Sie auf die unterschiedlichen Nummern: In den Zweigen 7.4 und 7.2 ist FortiOS erst ab 7.4.13 und 7.2.14 abgesichert, FortiManager und FortiAnalyzer dagegen schon ab 7.4.12 und 7.2.13.

FortiSASE wurde von Fortinet automatisch aktualisiert. Für FortiManager Cloud stehen die neuen Versionen bereit, sie müssen aber unter Umständen manuell eingespielt werden. Ältere Zweige wie FortiOS 7.0 nennt Fortinet nicht. Für FortiOS 7.0 ist der Support bereits am 30. September 2025 ausgelaufen, hier sollte der Wechsel auf einen unterstützten Zweig eingeplant werden.

Stand 23. Oktober 2026 meldet weder Fortinet noch eine nationale Sicherheitsbehörde Angriffe auf die neu behobenen Schwachstellen. Das Centre for Cybersecurity Belgium empfiehlt dennoch, die Updates mit höchster Priorität einzuspielen.

Anders sieht es bei FortiMail aus: Die Lücke CVE-2026-104286 wird laut Fortinet bereits aktiv ausgenutzt, die US-Behörde CISA hat sie am 1. Oktober in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Die oben genannten FortiMail-Versionen schließen auch diese Lücke. Wer FortiMail betreibt, sollte diese Geräte deshalb zuerst aktualisieren.

1. Bestand erfassen: Ermitteln Sie alle Geräte mit FortiOS, FortiManager, FortiAnalyzer, FortiMail und FortiAuthenticator, auch solche, die ein Dienstleister für Sie betreibt.
2. Internet zuerst: Aktualisieren Sie zuerst alle Geräte, die aus dem Internet erreichbar sind. Fortinet hat Wartungsfenster für den 22. und 23. Oktober empfohlen.
3. Konfiguration sichern: Speichern Sie vor jedem Update die aktuelle Konfiguration.
4. Verwaltungszugänge abschirmen: Solange ein Update noch aussteht, sollten HTTPS- und SSH-Zugänge zur Verwaltung nur von vertrauenswürdigen IP-Adressen erreichbar sein. FortiManager gehört grundsätzlich nicht ins Internet.
5. Anmeldungen absichern: Nutzen Sie für alle Administratorkonten starke, eindeutige Passwörter und Mehr-Faktor-Authentifizierung.
6. Protokolle prüfen: Achten Sie vor und nach dem Update auf ungewöhnliche Administratoranmeldungen, neue Administratorkonten und nicht freigegebene Änderungen an Konfiguration oder Zugriffsregeln. Ein Update beseitigt keine Kompromittierung, die bereits stattgefunden hat.

Die InSys AG^® war viele Jahre selbst Fortinet-Partner und kennt die Produkte aus der eigenen Praxis. Aus dieser Sicht ist das Vorgehen von Fortinet ungewöhnlich, aber nachvollziehbar, und es zeigt, dass der Hersteller das Risiko ernst nimmt. Die Entwicklung betrifft die gesamte Branche: KI findet Schwachstellen schneller, auf Seiten der Hersteller wie der Angreifer. In derselben Woche hat Palo Alto Networks bestätigt, dass PAN-OS von den kritischen PHP-Lücken betroffen ist, mehr dazu in unserem Beitrag zum PHP Update und PHP2Shell. Warum die Zahl der Sicherheitsupdates insgesamt so stark steigt, beschreiben wir im Beitrag Patch Management im KI-Zeitalter.

Für Unternehmen heißt das: Jede Firewall braucht einen festen Ablauf für Firmware-Updates, unabhängig davon, ob es sich um ein Gerät von Fortinet, Palo Alto Networks oder eine UniFi Enterprise Firewall handelt. Dazu gehören ein aktueller Gerätebestand, vorbereitete Wartungsfenster und Verwaltungszugänge, die nicht aus dem Internet erreichbar sind.

Die InSys AG^® hilft Unternehmen dabei, Schwachstellen systematisch im Blick zu behalten, statt auf jede neue Warnung einzeln zu reagieren. Wie sich neue CVEs automatisch mit dem eigenen Bestand abgleichen lassen, zeigen wir im Beitrag zum Schwachstellenmanagement mit Microsoft 365. Angriffe auf Geräte und Konten erkennen Sie mit Microsoft Defender XDR. Einen Überblick über unsere Leistungen finden Sie auf unserer Seite zu Microsoft für Unternehmen. Sie erreichen uns telefonisch unter +49 (521) 260105-0 oder über das Kontaktformular am Ende dieser Seite.