Fortinet FortiOS: Path Traversal in CLI erlaubt beliebiges Schreiben und Löschen von Dateien

Zusammenfassung

Eine Path-Traversal-Schwachstelle im Kommandozeileninterpreter von FortiOS, FortiPAM, FortiProxy und FortiSwitchManager erlaubt einem authentifizierten Angreifer mit Admin-Profil und mindestens Lese-/Schreibberechtigung, über speziell gestaltete CLI-Befehle beliebige Dateien zu schreiben oder zu löschen. CISA führt die Schwachstelle als aktiv ausgenutzt. Laut Sekundärberichten wurde sie in einer Kampagne als Schritt zur Rechteausweitung eingesetzt. NVD bewertet sie mit 6.5 (mittel), Fortinet nennt in seinem Advisory 6.0.

Betroffen

• FortiOS 7.6.0 bis 7.6.4
• FortiOS 7.4.0 bis 7.4.9
• FortiOS 7.2, 7.0 und 6.4: alle Versionen
• FortiProxy 7.6.0 bis 7.6.4
• FortiProxy 7.4.0 bis 7.4.11
• FortiProxy 7.2 und 7.0: alle Versionen
• FortiPAM 1.7.0
• FortiPAM 1.6, 1.5, 1.4, 1.3, 1.2, 1.1 und 1.0: alle Versionen
• FortiSwitchManager 7.2.0 bis 7.2.7
• FortiSwitchManager 7.0.0 bis 7.0.6

Behoben in

• FortiOS 7.6.5 oder höher
• FortiOS 7.4.10 oder höher
• FortiOS 7.2, 7.0 und 6.4: Migration auf eine korrigierte Version (korrigierter Build im Advisory nicht genannt)
• FortiProxy 7.6.5 oder höher
• FortiProxy 7.4.12 oder höher
• FortiPAM 1.8.0 oder höher
• FortiPAM 1.7.1 oder höher
• FortiSwitchManager 7.2.8 oder höher
• FortiSwitchManager 7.0.7 oder höher
• FortiSASE: in Version 25.4.b behoben, keine Massnahmen durch Kunden nötig

Umgehung

• Für die betroffenen Versionszweige ist kein Workaround des Herstellers dokumentiert.
• Ein virtueller Patch "FG-VD-59270.0day." ist im FMWP-Datenbankupdate 25.120 verfügbar. Er ist eine Schutzmassnahme und ersetzt das Firmware-Update nicht.
• Administrativen Zugriff (GUI, SSH und CLI) auf interne oder reine VPN-Managementnetze beschränken.

Ausnutzung

• CISA führt die Schwachstelle als bekannt ausgenutzt (aufgenommen am 16.10.2026).
• Laut Sekundärberichten zu Unit 42 PEERSTITCH wurde die Schwachstelle als Schritt zur Rechteausweitung genutzt.
• Es ist kein öffentlicher Proof of Concept bestätigt. Das bedeutet nicht, dass kein Exploit-Code existiert.
• CISA SSVC: Ausnutzung aktiv, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Prüfen, ob FortiOS, FortiPAM, FortiProxy oder FortiSwitchManager eingesetzt wird und welche Version installiert ist.
• Auf die oben genannten korrigierten Versionen aktualisieren oder auf eine unterstützte korrigierte Version migrieren. Dafür das Upgrade-Pfad-Tool von Fortinet verwenden.
• Falls ein Update nicht sofort möglich ist, als Übergangsmassnahme den virtuellen Patch FG-VD-59270.0day. anwenden.
• Prüfen, ob Admin-Schnittstellen aus dem Internet erreichbar sind, und den Zugriff einschränken.
• MFA für alle Admin-Konten erzwingen, nicht benötigte oder gemeinsam genutzte Admin-Konten entfernen und bei Verdacht auf Kompromittierung Zugangsdaten rotieren.
• Konfiguration und Logs auf unerwartete Änderungen und unbekannte Admin-Konten prüfen.
• Auf unerwartete Dateiänderungen und administrative Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fortinet PSIRT FG-IR-26-122 fortiguard.fortinet.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• CISA alert: KEV additions, 16 October 2026 www.cisa.gov
• Siemens SSA-975644 cert-portal.siemens.com
• Unit 42: PEERSTITCH research unit42.paloaltonetworks.com
• The Hacker News: Attackers exploit FortiOS flaw thehackernews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:21.