Fortinet FortiOS/FortiProxy/FortiSwitchManager: Authentifizierungsumgehung im FortiCloud SSO

Zusammenfassung

Fortinet FortiOS, FortiProxy und FortiSwitchManager verifizieren kryptografische Signaturen beim FortiCloud-SSO-Login nicht korrekt. Ein nicht authentifizierter Angreifer aus dem Netz kann mit einer manipulierten SAML-Antwort den Login umgehen und administrativen Zugriff erlangen. Voraussetzung ist, dass der FortiCloud-SSO-Login auf dem Gerät aktiviert ist. Dies ist ab Werk deaktiviert, wird aber bei der Registrierung am FortiCare über die GUI aktiviert, sofern der Schalter nicht deaktiviert wird. Die Ausnutzung ist bestätigt und die Schwachstelle ist im Katalog der CISA KEV aufgeführt.

Betroffen

• FortiOS 7.6.0 bis 7.6.3
• FortiOS 7.4.0 bis 7.4.8
• FortiOS 7.2.0 bis 7.2.11
• FortiOS 7.0.0 bis 7.0.17
• FortiProxy 7.6.0 bis 7.6.3
• FortiProxy 7.4.0 bis 7.4.10
• FortiProxy 7.2.0 bis 7.2.14
• FortiProxy 7.0.0 bis 7.0.21
• FortiSwitchManager 7.2.0 bis 7.2.6
• FortiSwitchManager 7.0.0 bis 7.0.5
• FortiOS 6.4 ist nicht betroffen

Behoben in

• FortiOS 7.6.4 oder höher
• FortiOS 7.4.9 oder höher
• FortiOS 7.2.12 oder höher
• FortiOS 7.0.18 oder höher
• FortiProxy 7.6.4 oder höher
• FortiProxy 7.4.11 oder höher
• FortiProxy 7.2.15 oder höher
• FortiProxy 7.0.22 oder höher
• FortiSwitchManager 7.2.7 oder höher
• FortiSwitchManager 7.0.6 oder höher
• FortiSASE 25.3.b (keine Massnahmen durch Kunden erforderlich)

Umgehung

• FortiCloud-SSO-Administrationslogin bis zum Upgrade deaktivieren: System > Settings > "Allow administrative login using FortiCloud SSO" auf Off setzen, oder in der CLI: config system global, set admin-forticloud-sso-login disable, end
• Bei der Registrierung eines Geräts am FortiCare den Schalter "Allow administrative login using FortiCloud SSO" auf der Registrierungsseite deaktivieren.

Ausnutzung

• Aktiv ausgenutzt. Arctic Wolf beobachtete ab dem 12. Dezember 2025 bösartige SSO-Logins, meist auf Administratorkonten.
• Seit dem 16. Dezember 2025 im Katalog der CISA KEV aufgeführt.
• Öffentlicher Proof-of-Concept-Code existiert, dessen Qualität laut VulnCheck jedoch gemischt ist.
• Arctic Wolf meldete eine spätere Kampagne ab dem 15. Januar 2026, die persistente Konten anlegte, VPN-Zugriffe konfigurierte und Firewall-Konfigurationen exportierte. Es ist unbekannt, ob der initiale Patch diese Aktivitäten vollständig abdeckt.

Unsere Empfehlung

• Alle FortiOS-, FortiProxy- und FortiSwitchManager-Geräte samt Versionen inventarisieren.
• Prüfen, ob der FortiCloud-SSO-Administrationslogin aktiviert ist, und ihn deaktivieren, falls er nicht benötigt wird.
• Auf die im Fortinet-Advisory FG-IR-25-647 genannten Fixversionen aktualisieren.
• Auch CVE-2026-24858, eine verwandte FortiCloud-SSO-Umgehung, prüfen und sicherstellen, dass die installierte Version den vollständigen Fix enthält.
• Den administrativen Zugriff auf Management-Netze beschränken und niemals aus dem Internet erreichbar machen.
• Protokolle ab dem 12. Dezember 2025 auf unbekannte Administrator- oder VPN-Konten, Konfigurationsänderungen und Logins von unbekannten Hosting-Provider-IP-Adressen prüfen.
• Bei Hinweisen auf eine Kompromittierung alle Firewall-Zugangsdaten zurücksetzen, einschliesslich der gehashten Zugangsdaten in exportierten Konfigurationen, und VPN-Konten überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (2 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  exfil0/CVE-2025-59718-PoC · moften/CVE-2025-59718-Fortinet-Poc

Quellen der Recherche

• Fortinet PSIRT FG-IR-25-647 fortiguard.fortinet.com
• Arctic Wolf: Malicious SSO logins following disclosure arcticwolf.com
• Arctic Wolf: Malicious configuration changes via SSO accounts arcticwolf.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• Fortinet blog: Analysis of SSO abuse on FortiOS www.fortinet.com
• VulnCheck: FortiCloud SSO login bypass www.vulncheck.com
• Siemens ProductCERT SSA-864900 cert-portal.siemens.com
• Help Net Security: FortiGate vulnerability exploited www.helpnetsecurity.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:30.