Kritische Fortinet-Sicherheitslücken werden in laufenden Angriffen aktiv ausgenutzt.

Das Unternehmen Defused Cyber, das sich auf Bedrohungsanalysen spezialisiert hat, warnt davor, dass Cyberkriminelle aktiv mehrere schwerwiegende Sicherheitslücken in Fortinet FortiSandbox ausnutzen.

In einem Beiträge auf X Das Unternehmen gab an, in den letzten 24 Stunden Angriffe beobachtet zu haben, die die Sicherheitslücken ausnutzten. CVE-2026-39813, CVE-2026-39808 und CVE-2026-25089.

CVE-2026-39813, mit einem CVSS-Wert von 9,1, ist eine Pfadtraversierungsschwachstelle in FortiSandbox JRPC-API. Die Schwachstelle könnte es einem nicht authentifizierten Angreifer ermöglichen, die Authentifizierung durch speziell präparierte HTTP-Anfragen zu umgehen.

• 

  GESPONSERT

  
  

• 

  WERBUNG

  
  

• 

  WERBUNG

  
  

• 

  EIGENE INHALTE

  
  

Die zweite Schwachstelle, CVE-2026-39808, das auch ein CVSS-Wert von 9,1, Es handelt sich um eine Command-Injection-Schwachstelle im Betriebssystem. Sie ermöglichte es einem nicht authentifizierten Angreifer, über speziell präparierte HTTP-Anfragen beliebigen Code oder Befehle auszuführen. Beide Schwachstellen wurden von Fortinet im April 2026 behoben.

Die dritte Schwachstelle, CVE-2026-25089, wurde letzte Woche erstmals gepatcht. Fortinet beschreibt es als Befehlsinjektion, die sich auswirkt FortiSandbox, FortiSandbox Cloud und FortiSandbox PaaS Web-Benutzeroberfläche. Die Schwachstelle könnte es einem nicht authentifizierten Angreifer ermöglichen, über speziell präparierte HTTP-Anfragen unautorisierte Befehle auszuführen.

Laut Defused Cyber gibt es Anzeichen dafür, dass das im Umlauf befindliche Proof-of-Concept-Material... CVE-2026-25089 wurde teilweise mithilfe künstlicher Intelligenz generiert. Das Unternehmen weist zudem darauf hin, dass das Material Ungenauigkeiten enthält und dass noch kein funktionierender Exploit veröffentlicht wurde.

Fortinet bleibt ein attraktives Ziel

Schwachstellen in Fortinet-Sicherheitsprodukte sind in den letzten Jahren zu wiederkehrenden Zielen von Cyberkriminellen geworden.

Im April 2026 veröffentlichte Fortinet dringende Sicherheitsupdates für die kritische Schwachstelle. CVE-2026-35616 in FortiClient EMS. Das Unternehmen bestätigte daraufhin, dass die Sicherheitslücke bereits bei realen Angriffen ausgenutzt wurde.

Berichten zufolge kompromittierte FortiBleed über 30.000 Firewalls.

Unterdessen berichtet das Cybersicherheitsunternehmen SOCRadar dass mutmaßliche russischsprachige Bedrohungsakteure im Rahmen einer massiven globalen Kampagne mehr als 30.000 Fortinet-Firewalls kompromittiert haben.

Die Entdeckung gelang, nachdem Forscher einen aktiven Server identifiziert hatten, der mit der Operation in Verbindung stand.

Entsprechend SOCRadar Die Datenbank der Angreifer enthält Anmeldedaten für über 30.791 Geräte, die Unternehmen, Regierungen und Organisationen in 194 Ländern gehören.

Das Unternehmen beschreibt die Daten als verifizierte und funktionierende Benutzernamen und Passwörter, die mithilfe von automatisierten, kontinuierlich laufenden Tools getestet und bestätigt wurden.

Zu den betroffenen Organisationen gehören Banken, Telekommunikationsunternehmen, Krankenhäuser, Universitäten, Regierungsbehörden, Energieunternehmen und multinationale Konzerne.

Die zehn am stärksten betroffenen Länder beinhaltet Indien, USA, Mexiko, Kolumbien, Thailand, Taiwan, Indonesien, Malaysia, Singapur und Frankreich. Indien Dem Bericht zufolge macht es rund 60 Prozent aller mit dem Internet verbundenen Fortinet-Installationen im öffentlichen Sektor aus.

Zweistufiges Verfahren zur Ausweitung des Eindringens

SOCRadar gibt an, dass die Angreifer eine zweistufige Methode anwenden.

Zunächst werden die zuvor durchgesickerten Exemplare getestet. Fortinet-Passwort gegen mit dem Internet verbundene Geräte. Laut dem Unternehmen haben viele Organisationen nach früheren Datenpannen ihre Passwörter nie geändert.

Sobald Angreifer Zugriff auf ein Gerät erlangt haben, überwachen sie passiv den Netzwerkverkehr, um zusätzliche Anmeldeinformationen zu sammeln, die durch das System fließen. Diese nutzen sie dann, um weitere Geräte zu kompromittieren und ihre Operation auszuweiten.

Hudson Rock: Fast 74.000 Firewall-URLs wurden angegriffen

In einer Folgeanalyse, die am 17. Juni 2026 veröffentlicht wurde, stellt das Cybersicherheitsunternehmen Hudson Rock fest, dass die sogenannten Die FortiBleed-Kampagne hat 73.932 eindeutige Firewall-URLs in 194 Ländern ins Visier genommen.

Laut Angaben des Unternehmens führte die Kampagne zu 21.632 betroffenen Domains.

Die Aktivität wurde zuerst von dem Sicherheitsforscher bemerkt. Volodymyr “Bob” Diachenko in einem Beitrag auf LinkedIn letzte Woche.

Laut Diachenko Es handelt sich um eine russischsprachige Gruppe mit mehreren Mitarbeitern, die weltweit in großem Umfang Authentifizierungsdaten von Fortinet FortiGate SSL VPN-Geräten sammelt.

Berichten zufolge wurden bei der Operation rund 1,16 Milliarden Authentifizierungsversuche gegen 320.777 FortiGate-Ziele und weitere 2,1 Milliarden Versuche gegen 163.650 Microsoft SQL-Server durchgeführt.

Hebt VPN-Verkehr ab und greift Active Directory an.

Die Forscher gehen davon aus, dass die Aktivitäten der Gruppe weit über das herkömmliche Sammeln von Benutzernamen und Passwörtern hinausgehen.

Laut der Analyse fangen die Angreifer die SSL-VPN-Authentifizierung ab, knacken Hashwerte mithilfe eines Clusters von 45 GPUs, die über Hashtopolis verwaltet werden, und dringen dann weiter in interne Active Directory-Umgebungen ein, um einen langfristigen Zugriff zu erlangen.

Es besteht außerdem der Verdacht, dass die Angreifer systematisch mit bekannten Passwortlisten arbeitende Fortinet-Installationen im Internet scannen und alle erfolgreichen Anmeldungen aufzeichnen.

Kompromittierte Geräte werden dann als Abhörpunkte genutzt, um weitere Zugangsdaten zu erfassen, wodurch nach Ansicht der Forscher eine kontinuierliche Kette unautorisierter Zugriffe entsteht.

Hudson Rock warnt insbesondere davor, dass selbst sehr komplexe Passwörter nutzlos werden können, wenn sie im Klartext offengelegt werden.

“Die Komplexität wird vollständig neutralisiert, wenn Passwörter im Klartext zurückgesetzt werden. Wenn Angreifer bekannte Zugangsdaten wiederverwenden können, um die Sicherheitsvorkehrungen zu umgehen, bietet die Passwortrichtlinie selbst keinen Schutz”, stellt das Unternehmen fest.