Fortinet FortiOS: Umgehung eines Patches zur Symlink-Persistenz im SSL-VPN

Zusammenfassung

Das SSL-VPN von FortiOS enthält eine Schwachstelle zur Offenlegung sensibler Informationen (CWE-200), mit der ein entfernter, nicht authentifizierter Angreifer den Patch für den Mechanismus der symbolischen Link-Persistenz umgehen kann, der in Fällen nach einer Ausnutzung beobachtet wurde. Der Angreifer sendet dazu präparierte HTTP-Anfragen, wodurch sensible Informationen offengelegt werden können. Voraussetzung ist, dass er das Gerät zuvor über eine andere Schwachstelle auf Dateisystemebene kompromittiert hat. CISA hat die Schwachstelle in den Katalog der bekannt ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) aufgenommen.

Betroffen

• FortiOS 7.6.0 bis 7.6.1
• FortiOS 7.4.0 bis 7.4.6
• FortiOS 7.2, 7.0 und 6.4: alle Versionen laut FortiGuard-Advisory (der CVE-Eintrag nennt 7.2.0 bis 7.2.13, 7.0.0 bis 7.0.19 und 6.4.0 bis 6.4.16)
• Produkte, auf denen SSL-VPN nicht aktiviert ist, sind nicht betroffen.

Behoben in

• FortiOS 7.6: Upgrade auf 7.6.2 oder höher
• FortiOS 7.4: Upgrade auf 7.4.7 oder höher
• FortiOS 7.2, 7.0 und 6.4: Migration auf eine korrigierte Version (die korrigierte Version wird im Advisory nicht genannt; unbekannt)

Umgehung

• Virtual Patch "FG-VD-60389.0day" im FMWP-Datenbankupdate 26.033. Fortinet hat nicht eindeutig angegeben, auf welche Produkte er zutrifft; vor dem Einsatz bei Fortinet abklären.
• Falls SSL-VPN nicht benötigt wird, SSL-VPN deaktivieren.

Ausnutzung

• CISA KEV: aufgenommen am 2026-07-27, Fälligkeitsdatum 2026-08-10. Verwendung in Ransomware-Kampagnen bekannt: unbekannt.
• Aktive Ausnutzung wird gemeldet (CISA KEV, HKCERT).
• Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden; das beweist jedoch nicht, dass keiner existiert.

Unsere Empfehlung

• Auf FortiOS 7.6.2 oder höher bzw. 7.4.7 oder höher aktualisieren. Die Zweige 7.2, 7.0 und 6.4 auf eine korrigierte Version migrieren.
• Alle aus dem Internet erreichbaren SSL-VPN-Geräte auf eine frühere Kompromittierung prüfen: unautorisierte Dateisystemänderungen, unerwartete symbolische Links, auffällige SSL-VPN-Aktivitäten, unautorisierte Konfigurationsänderungen und verdächtige administrative Zugriffe.
• Bei vermuteter Kompromittierung Zugangsdaten zurücksetzen. Ein Patch allein entfernt unter Umständen keinen bestehenden Zugang des Angreifers.
• SSL-VPN deaktivieren, falls es nicht benötigt wird.
• SSL-VPN-Protokolle und administrative Zugriffe überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fortinet PSIRT FG-IR-25-934 fortiguard.fortinet.com
• CISA Known Exploited Vulnerabilities Catalog: CVE-2025-68686 www.cisa.gov
• HKCERT security bulletin: Fortinet products multiple vulnerabilities www.hkcert.org
• Redlegg security bulletin: SSL-VPN symlink persistence patch bypass in FortiOS www.redlegg.com
• CybersecurityNews: Fortinet FortiOS vulnerability exploited cybersecuritynews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:03.