Fortinet FortiOS: Unzureichende Authentifizierung bei RADIUS-Zwei-Faktor-Admin-Login
Zusammenfassung
FortiOS 7.6.0 bis 7.6.6 akzeptiert unter Umständen ein ungültiges Zwei-Faktor-Token für Remote-RADIUS-Administratorkonten. Ein Angreifer, der einen gültigen Benutzernamen und ein gültiges Passwort kennt und mindestens Nur-Lese-Adminrechte besitzt, kann sich an der FortiOS-GUI anmelden. Die Schwachstelle betrifft nur Fälle, in denen der RADIUS-Server nach einem ungültigen Token eine zusätzliche Access-Challenge zurückgibt.
Betroffen
- FortiOS 7.6.0 bis 7.6.6
- Nur bei Remote-RADIUS-Administratorkonten mit Zwei-Faktor-Authentifizierung
- Gemäss Hersteller sind FortiOS 7.4, 7.2 und 8.0 nicht betroffen
Behoben in
- Upgrade auf FortiOS 7.6.7 oder neuer
- Gemäss Hersteller ist FortiOS 8.0.0 oder neuer nicht betroffen
Umgehung
- Die Remote-RADIUS-Administratorkonten löschen, die mit dem RADIUS-Server verknüpft sind, der Access-Challenge zurückgibt (GUI: System > Administrators; CLI: config system admin, delete, next, end)
- Hinweis: Dadurch werden Remote-RADIUS-Admin-Logins vollständig entfernt; betroffene Administratoren vorab informieren
- Lokale Administratorkonten sind von diesem Workaround nicht abgedeckt
Ausnutzung
- Keine Ausnutzung in freier Wildbahn gefunden; Known Exploited: nein
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
- Öffentlicher Proof-of-Concept: unbekannt; eine Drittquelle meldet einen öffentlichen Exploit, nicht verifiziert
- Der Hersteller dankt Juan A. Zavala (EchoStar/HUGHES) für die verantwortungsvolle Meldung
Unsere Empfehlung
- FortiOS-Version aller FortiGate-Geräte prüfen und Geräte mit 7.6.0 bis 7.6.6 auf 7.6.7 oder neuer aktualisieren
- Prüfen, ob Administratoren eine Anmeldung über RADIUS mit Zwei-Faktor-Authentifizierung nutzen
- Falls das Patchen verzögert wird, den Workaround nach Absprache mit den Administratoren anwenden
- Sicherstellen, dass die Admin-GUI nicht aus dem Internet erreichbar ist, und Admin-Logs auf Anmeldungen mit ungültigen Tokens prüfen
- NVD-Eintrag und Proof-of-Concept-Quellen in den kommenden Tagen erneut prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fortinet PSIRT advisory FG-IR-26-195 fortiguard.fortinet.com
- CVE Record CVE-2026-121530 (CVE.org) www.cve.org
- Strix CVE details CVE-2026-121530 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:41.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.