Was, wenn die Firewall, die eigentlich Ihre Webanwendungen schützen soll, sich mit einem beliebigen Benutzernamen und einem beliebigen Passwort administrieren lässt? Genau diese Konstellation liefert der August 2026. Fortinet hat am 12. August 2026 eine ganze Serie von Sicherheitsupdates veröffentlicht, darunter die Schwachstelle CVE-2026-26035 in FortiWeb. Ein nicht authentifizierter Angreifer kann sich damit über die Remote-RADIUS-Authentifizierung vom Typ Admin mit einem zufälligen Passwort an der GUI oder CLI anmelden und die Web Application Firewall komplett übernehmen. Laut NVD und heise erreicht die Lücke einen CVSS-Base-Score von 8.8 von 10.

Das Fortinet-Sicherheitsupdate vom 12. August 2026 im Überblick

Am 12. August 2026 veröffentlichte Fortinet acht neue PSIRT-Bulletins mit den Kennungen FG-IR-26-156 bis FG-IR-26-163. Diese Bulletins betreffen die Produkte FortiWeb, FortiManager, FortiManager Cloud, FortiClient für Windows, FortiOS, FortiPAM, FortiProxy, FortiSIEM und FortiSwitchManager. Das französische CERT-FR listet in seinem Advisory CERTFR-2026-AVI-1015 vom 13. August 2026 die möglichen Auswirkungen explizit auf: Datenverlust, Sicherheitsrichtlinien-Umgehung, Denial-of-Service, Remote Code Execution, Server-Side Request Forgery und Rechteausweitung.

Acht Advisories, vier Schweregrade

Die Advisories gliedern sich nach Produkt und Angriffsvektor. Die mit Abstand größte Aufmerksamkeit erhalten die Authentifizierungslücken in FortiWeb und FortiManager, da sie aus dem Internet ausnutzbar sind und direkt zur vollständigen Kontrolle der Management-Ebene führen. Aber auch der Windows-Client und die Firewall-Betriebssysteme erhalten dringende Patches. Administratoren sollten die Updates nicht als Routine-Patch-Day abtun, sondern als kritische Infrastruktur-Reparatur behandeln. Die gleichzeitige Veröffentlichung so vieler Bulletins zeigt, dass Fortinet in diesem Monat eine breite Wartungsphase durchläuft, die alle Ebenen der Sicherheitsarchitektur betrifft.

Warum Management- und Sicherheitsprodukte im Fokus stehen

FortiWeb, FortiManager und FortiClient sind keine Endanwender-Anwendungen, sondern zentrale Steuerungsebenen. Wer FortiWeb kompromittiert, kontrolliert den Schutz für Webanwendungen. Wer FortiManager übernimmt, verwaltet die Konfigurationen Tausender Firewalls und kann Policy-Regeln, VPN-Tunnel und Routen im gesamten Netzwerk ändern. In der Vergangenheit wurde das mehrfach bewiesen: Die Kampagne FortiBleed zeigte, wie schnell Angreifer zentrale Fortinet-Komponenten ins Visier nehmen. Auch die FortiOS SSL-VPN Zero-Day-Lücke wurde weltweit massiv ausgenutzt und führte zu einer Warnung des BSI.

CVE-2026-26035: FortiWeb lässt sich mit zufälligen Zugangsdaten administrieren

Die gefährlichste Einzellücke dieser Patch-Welle ist CVE-2026-26035. Die NVD beschreibt sie als Improper Authentication (CWE-287) in FortiWeb und stuft sie mit einem CVSS-Base-Score von 8.8 als High ein. Nach heise und Borns IT-Blog ermöglicht sie einem nicht authentifizierten, entfernten Angreifer, sich an der FortiWeb-GUI oder -CLI mit einem zufälligen Benutzernamen und einem zufälligen Passwort anzumelden. Voraussetzung ist laut Fortinet-PSIRT FG-IR-26-158 eine bestimmte, nicht standardmäßige Konfiguration der Remote-RADIUS-Authentifizierung vom Typ Admin.

Betroffene Versionen und Patch-Stand

Fortinet nennt in seiner Sicherheitsmitteilung konkrete Versionen. Betroffen sind FortiWeb 8.0.0 bis 8.0.2, 7.6.0 bis 7.6.6, 7.4.0 bis 7.4.11, 7.2.0 bis 7.2.12 sowie 7.0.0 bis 7.0.12. Die HKCERT-Warnung vom 13. August 2026 fasst die Versionen ähnlich zusammen und empfiehlt, unverzüglich die gepatchten Releases einzuspielen. Laut F1TYM1 stand der Patch am 13. August 2026 zur Verfügung. Administratoren sollten zuerst prüfen, ob in ihrer Konfiguration überhaupt die RADIUS-Admin-Authentifizierung aktiv ist, bevor sie die Dringlichkeit einschätzen.

Was ein Angreifer nach dem Login erreichen kann

Wer sich erfolgreich als Administrator anmeldet, kann Regeln ändern, SSL/TLS-Profile manipulieren, Logs löschen, Backdoors in virtuellen Hosts hinterlegen und den Datenverkehr umleiten oder mitschneiden. In der Praxis bedeutet das: Die Web Application Firewall wird vom Schutzglied zum Einfallstor. Eine solche Kompromittierung ist besonders tückisch, weil sie oft monatelang unentdeckt bleibt, während der Angreifer legitime Administrations-Rechte nutzt und seine Spuren in den eigenen Logs verwischt. Ein Angreifer könnte beispielsweise eine Regel definieren, die bestimmte Anfragen an eine von ihm kontrollierte Backend-Adresse weiterleitet, ohne dass ein regulärer Verkehrsmonitor Alarm schlägt.

Weitere kritische Lücken: FortiManager, FortiClient und FortiOS

Neben FortiWeb schließt Fortinet auch Lücken in anderen zentralen Produkten. Die zweite große Authentifizierungslücke ist CVE-2026-70468 in FortiManager und FortiManager Cloud. Die NVD beschreibt sie als authentication bypass using an alternate path or channel und nennt betroffene Versionen: FortiManager 7.6.1, 7.4.3 bis 7.4.5, 7.2.5 bis 7.2.9 sowie die entsprechenden Cloud-Varianten. Laut Borns Blog erreicht sie einen CVSS-Score von 7.8. Ein Angreifer kann sich dabei als beliebiges vom FortiManager verwaltetes FortiGate ausgeben, sofern er über ein gültiges Zertifikat verfügt.

CVE-2026-70465: Buffer Overflow in FortiClient für Windows

Für Windows-Endpunkte ist CVE-2026-70465 relevant. Nach HKCERT und Borns Blog handelt es sich um einen Buffer Overflow in FortiClient für Windows, der über manipulierte DNS-Antworten oder bösartige Pakete ausgenutzt werden kann. Der CVSS-Score liegt bei 7.3. Betroffen sind die Versionen 7.2.0 bis 7.2.11 und 7.4.0 bis 7.4.3. Da FortiClient auf vielen Unternehmens-Laptops installiert ist, ist die Angriffsfläche groß, sobald ein Rechner eine kompromittierte Netzwerkverbindung aufbaut, zum Beispiel in einem öffentlichen WLAN oder über eine kompromittierte Remote-Access-Lösung. Ein erfolgreicher Exploit kann unter Umständen zur Code-Ausführung mit Systemrechten führen.

FortiOS, FortiPAM, FortiProxy und FortiSIEM im Blick

Das CERT-FR-Advisory CERTFR-2026-AVI-1015 nennt darüber hinaus FortiOS, FortiPAM, FortiProxy und FortiSIEM als betroffen. Für FortiOS werden Versionen vor 7.6.7 genannt, für FortiPAM Versionen vor 1.9.2 und für FortiProxy Versionen vor 7.6.7 beziehungsweise 7.4.15. FortiSIEM 7.4.x vor 7.4.3, 7.5.x vor 7.5.1 und Versionen vor 7.3.6 benötigen ebenfalls Updates. Die CISA Vulnerability Summary vom 18. August 2026 (Bulletin SB26-229) führt die FortiWeb-Lücke CVE-2026-26035 ebenfalls auf und unterstreicht die Relevanz für US-Behörden und kritische Infrastrukturen.

Vergleichstabelle: CVEs, Produkte, CVSS und Patch-Ziel

Technische Details der Angriffsvektoren

Die drei zentralen Schwachstellen nutzen unterschiedliche technische Pfade aus, haben aber dasselbe strategische Ziel: die Erlangung administrativer Kontrolle. Bei CVE-2026-26035 liegt das Problem in der Art und Weise, wie FortiWeb die RADIUS-Antworten für die Admin-Authentifizierung verarbeitet. Offenbar akzeptiert das System unter bestimmten Konfigurationen jede Antwort als gültig, was den Angreifer mit einem beliebigen zufälligen Passwort erfolgreich anmelden lässt. Dies ist ein klassisches Beispiel für unsichere Authentifizierungslogik, bei der das Vertrauen in das externe Authentifizierungssystem nicht ausreichend validiert wird.

Authentifizierungsumgehung über alternative Pfade

CVE-2026-70468 nutzt einen alternativen Pfad innerhalb der FortiManager-Kommunikation. FortiManager verwaltet Firewalls über das FortiGate-to-FortiManager-Protokoll FGFM. Ein Angreifer, der ein gültiges Zertifikat besitzt, kann offenbar eine bestimmte CLI-Option über präparierte FGFM-Anfragen setzen und sich dadurch als verwaltetes FortiGate ausgeben. Diese Art von Angriff ist besonders gefährlich, weil sie nicht das Passwort des FortiManager-Administrators benötigt, sondern auf der Vertrauensstellung zwischen Manager und verwaltetem Gerät aufbaut.

Buffer Overflow durch manipulierte Netzwerkantworten

Bei CVE-2026-70465 handelt es sich um eine Pufferüberlauf-Schwachstelle, die durch manipulierte DNS-Antworten oder bösartige Netzwerkpakete ausgelöst werden kann. Ein Buffer Overflow in einem Client-Produkt ist deshalb kritisch, weil der Endpunkt oft in unsicheren Netzwerken eingesetzt wird und das Opfer keine aktive Interaktion ausführen muss, außer eine Netzwerkverbindung aufzubauen. Dadurch eignet sich die Lücke für Drive-by-Angriffe in öffentlichen Netzwerken oder für gezielte Man-in-the-Middle-Szenarien im Unternehmensnetz.

Historischer Kontext: Fortinet als wiederkehrendes Angriffsziel

Das August-2026-Update reiht sich in eine lange Serie von Fortinet-Zwischenfällen ein. Bereits im Juni 2026 wurde die FortiBleed-Kampagne bekannt, bei der Angreifer etwa 74.000 Fortinet-Firewalls über Credential-Stuffing kompromittierten. Im Mai 2026 warnte das BSI vor einer kritischen Zero-Day-Lücke in FortiOS SSL-VPN, die Millionen Unternehmens-Firewalls im Visier hatte. Auch andere Hersteller erleben vergleichbare Wellen: Die Cisco ASA/FTD VPN-DoS-Lücke CVE-2026-20349 wurde Anfang August 2026 in den CISA KEV-Katalog aufgenommen, weil sie aktiv ausgenutzt wurde. Und VMware vCenter CVE-2026-59310 zeigte, dass selbst virtualisierte Management-Ebenen zur Dauerüberwachung missbraucht werden können.

Gemeinsame Muster bei Management-Plane-Angriffen

Das gemeinsame Muster dieser Vorfälle ist die Konzentration auf die Management-Ebene. Firewalls, Web Application Firewalls, RMM-Tools und vCenter sind attraktiv, weil ein einziger erfolgreicher Angriff Tausende von Endpunkten oder ganze Rechenzentren erfasst. Deshalb sind Patches für diese Systeme immer prioritärer zu behandeln als Updates für normale Anwendungen. Eine verzögerte Reaktion auf FortiWeb oder FortiManager kann binnen Stunden zur Eskalation führen, wenn ein automatisierter Scanner die verwundbare Version entdeckt und Exploit-Code zur Verfügung steht.

Warum die CISA Vulnerability Summary wichtig ist

Die CISA Vulnerability Summary SB26-229 vom 18. August 2026 hebt CVE-2026-26035 ausdrücklich hervor und klassifiziert sie als relevant für US-Regierungsbehörden. Diese Aufnahme in das wöchentliche Bulletin ist kein formales KEV-Listing, signalisiert aber, dass die Lücke ernst genug ist, um in die wöchentliche Bewertung der US-Behörde aufgenommen zu werden. Unternehmen, die NIST- oder CISA-orientierte Risikomanagement-Prozesse nutzen, sollten diese Einstufung als zusätzlichen Beschleunigungsfaktor für ihre Patch-Planung verwenden.

Schutzmaßnahmen: Was Administratoren jetzt tun müssen

Die erste und wichtigste Maßnahme ist das Einspielen der gepatchten Firmware und Software. Fortinet bietet für jede betroffene Produktlinie aktualisierte Versionen an. Administratoren sollten zuerst die Management-Systeme aktualisieren, da deren Kompromittierung die größte Auswirkung hat: Wer FortiManager oder FortiWeb kontrolliert, kann in der Folge Endpunkte und Firewalls neu konfigurieren. Eine Backup-Strategie vor dem Update ist Pflicht, um bei Firmware-Problemen schnell zurückrollen zu können.

Patch-Reihenfolge und Priorisierung

Eine sinnvolle Reihenfolge ist: Erstens FortiWeb-Instanzen, die aus dem Internet erreichbar sind. Zweitens FortiManager und FortiManager Cloud. Drittens FortiClient für Windows auf privilegierten Arbeitsstationen und Administratoren-Laptops. Viertens FortiOS-Firewalls, insbesondere solche mit exponierten Management-Schnittstellen. Fünftens übrige betroffene Produkte wie FortiPAM, FortiProxy und FortiSIEM. Bei Geräten, die nicht sofort gepatcht werden können, sollten die Management-Oberflächen auf interne IP-Adressen oder VPN-Tunnel beschränkt und die RADIUS-Admin-Authentifizierung vorübergehend deaktiviert werden.

Netzwerksegmentierung als Zwischenmaßnahme

Bis alle Updates eingespielt sind, hilft eine strenge Netzwerksegmentierung. FortiWeb-, FortiManager- und FortiOS-Management-Schnittstellen sollten nicht direkt aus dem Internet erreichbar sein. IP-Whitelisting, Jump-Hosts und Multi-Faktor-Authentifizierung für administrative Zugriffe erhöhen die Hürden für Angreifer zusätzlich. Besonders wichtig ist die Abschaltung veralteter Authentifizierungsmethoden, die nicht zwingend für den Betrieb benötigt werden, etwa nicht genutzte RADIUS-Admin-Gruppen oder externe Management-Ports.

Erkennung von Kompromittierungen

Nach dem Patch empfiehlt es sich, die Logs der betroffenen Systeme auf ungewöhnliche Admin-Anmeldungen zu prüfen. Besonders bei FortiWeb sollten Anmeldeversuche über RADIUS-Admin vor dem 13. August 2026 geprüft werden, die mit scheinbar zufälligen Benutzernamen erfolgten. Auch geänderte Regeln, neue virtuelle Hosts, unerwartete SSL-Zertifikatswechsel oder plötzliche Konfigurations-Exports können Indikatoren sein. Wer bereits verdächtige Aktivitäten feststellt, sollte die betroffene Instanz neu aufsetzen und aus einem sauberen Backup wiederherstellen, das vor dem Verdachtszeitpunkt erstellt wurde.

Fazit und Ausblick

Die August-2026-Patch-Welle zeigt erneut, dass zentrale Sicherheits- und Management-Produkte zu den attraktivsten Zielen für Angreifer gehören. Mit CVE-2026-26035 in FortiWeb liegt eine Lücke vor, die unter bestimmten Konfigurationen die komplette Kontrolle über eine Web Application Firewall ermöglicht. Die CVSS-Scores von 8.8, 7.8 und 7.3 sind keine theoretischen Werte, sondern konkrete Warnsignale für jede Organisation, die Fortinet-Produkte einsetzt. Wer die Updates nicht umgehend installiert, riskiert nicht nur einen Einbruch, sondern auch eine langfristige, schwer erkennbare Kompromittierung seiner Sicherheitsinfrastruktur.

Zusätzlich sollten Sicherheitsteams prüfen, ob in ihrer Infrastruktur veraltete oder nicht genutzte Fortinet-Dienste aktiv sind, die das Risikofenster unnötig vergrößern.

Langfristig sollten Unternehmen ihre Patch-Management-Prozesse für zentrale Sicherheitsprodukte beschleunigen. Wartungsfenster für Firewalls und Web Application Firewalls sollten kurzfristig buchbar sein, und kritische Advisories müssen automatisiert an das betreuende Team eskaliert werden. Nur wer Management-Ebenen genauso ernst nimmt wie Perimeter-Schutzmaßnahmen, ist auf die nächste Sicherheitswelle vorbereitet.

Quellen: NVD CVE-2026-26035, NVD CVE-2026-70468, NVD CVE-2026-70465, HKCERT Advisory, CERT-FR CERTFR-2026-AVI-1015, heise online, Borns IT- und Windows-Blog, CISA Vulnerability Summary SB26-229.