Fortinet FortiSIEM: Path Traversal führt zu unauthentifizierter Remote Code Execution

Zusammenfassung

Eine Path-Traversal-Schwachstelle im gRPC-Dienst phQueryMaster von Fortinet FortiSIEM erlaubt es einem nicht authentifizierten Angreifer, durch speziell erstellte Pakete beliebige Dateien zu schreiben. Das Schreiben von Dateien kann zur Ausführung von nicht autorisiertem Code oder Befehlen auf dem Gerät führen. Fortinet nennt FortiSIEM 7.5.0 als betroffen und stuft die Schwachstelle mit 9.4 ein, während der CVE-Eintrag 9.8 angibt. Für die Ausnutzung wird Netzwerkzugriff auf TCP-Port 27918 benötigt.

Betroffen

• FortiSIEM 7.5.0 (gemäss Fortinet-Advisory FG-IR-26-180)
• FortiSIEM 7.6 und FortiSIEM Cloud: nicht betroffen
• Der CVE-Eintrag nennt zusätzlich 7.0.0 bis 7.4.2; Fortinets Advisory bestätigt diese nicht. Prüfen Sie jeden FortiSIEM-Zweig, den Sie betreiben.

Behoben in

• FortiSIEM 7.5: Upgrade auf 7.5.1 oder neuer (gemäss Fortinet-Advisory)
• Andere Zweige: Unbekannt. Der Lösungstext im CVE-Eintrag nennt 7.6.0 oder neuer, was dem Advisory des Herstellers widerspricht.

Umgehung

• Zugriff auf TCP-Port 27918 aus nicht vertrauenswürdigen Netzen einschränken (Workaround des Herstellers)
• Der Workaround blockiert den Netzwerkpfad zum verwundbaren Dienst, behebt die Schwachstelle jedoch nicht

Ausnutzung

• Horizon3.ai hat einen öffentlichen Proof-of-Concept-Exploit auf GitHub veröffentlicht
• Fortinet führt die Schwachstelle nicht als Known Exploited; sie ist nicht im CISA-KEV-Katalog (Stand 2026.10.16) gelistet
• Eine Quelle meldet Ausnutzung in freier Wildbahn unter Berufung auf eine kanadische Warnung; dies ist nicht verifiziert
• Horizon3 hat keine eindeutigen Logs zur Ausnutzung gefunden

Unsere Empfehlung

• Upgrade von FortiSIEM 7.5.0 auf 7.5.1 oder neuer so rasch wie möglich
• Alle FortiSIEM-Versionen inventarisieren und TCP-Port 27918 jetzt aus nicht vertrauenswürdigen Netzen blockieren, inklusive NAT-Regeln
• Falls das System ungepatcht exponiert war, Änderungszeitpunkte und Inhalte von /opt/charting/redishb.sh und /opt/phoenix/bin/phLicenseTool prüfen und eine Incident-Response in Betracht ziehen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (5 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  horizon3ai/CVE-2026-106173 · 0xBlackash/CVE-2026-106173 · tc4dy/CVE-2026-106173-PoC-Exploit · MRdark-ops/rce-FortiSIEM · aduli198/CVE-2026-106173

Quellen der Recherche

• Fortinet PSIRT FG-IR-26-180 fortiguard.fortinet.com
• Horizon3.ai proof-of-concept repository github.com
• Horizon3.ai deep-dive analysis horizon3.ai
• Ostorlab analysis blog.ostorlab.co
• ThreatWire report www.threatwire.tech
• Strix CVE details www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:02.