SchwachstellenCybersicherheit

Fortinet und Ivanti schließen kritische Sicherheitslücken – Patches jetzt verfügbar

Von CyberDeutsch Redaktion
Fortinet und Ivanti schließen kritische Sicherheitslücken – Patches jetzt verfügbar
Zusammenfassung

Cybersicherheitspatch-Dienstag: Die Softwareunternehmen Fortinet und Ivanti haben zeitgleich kritische Sicherheitslücken in ihren Produkten geschlossen. Fortinet veröffentlichte elf Sicherheitshinweise zu Schwachstellen, darunter zwei kritische Code-Ausführungsfehler in FortiAuthenticator und FortiSandbox mit Schweregrad-Bewertungen von je 9,1. Diese könnten von Angreifern ohne Authentifizierung aus der Ferne ausgenutzt werden, um beliebigen Code auszuführen. Ivanti patschte parallel sieben Schwachstellen, angeführt von einer kritischen Lücke (CVSS 9,6) in Xtraction zur Remote-Dateioffenlegung. Besonders besorgniserregend: Die Schwachstellen ermöglichen potenziell Privilege Escalation und Remote-Code-Ausführung auf verwundbaren Systemen. Während Fortinet und Ivanti berichten, dass bisherige Ausnutzungen unbekannt sind, könnten diese Lücken für deutsche Unternehmen und Behörden kritisch werden. Viele nutzen Fortigate-Appliances für Netzwerksicherheit oder Ivanti-Lösungen für Endpoint Management und Remote Access – besonders im Banken-, Versicherungs- und Behördensektor. Schnelle Patches sind essentiell, um Kompromittierungen zu verhindern.

Fortinet hat elf Sicherheitsberichte veröffentlicht und damit elf verschiedene Lücken adressiert. Zwei dieser Schwachstellen werden als kritisch eingestuft. Die erste trägt die CVE-Nummer CVE-2026-44277 mit einem CVSS-Wert von 9.1 und betrifft FortiAuthenticator – ein improper Access Control Problem, das es Angreifern erlaubt, ohne Authentifizierung via manipulierte Anfragen Zugriff zu erlangen. Erleichternd wirkt hier die Mitteilung Fortinets, dass die Cloud-Variante FortiAuthenticator Cloud nicht betroffen ist.

Die zweite kritische Sicherheitslücke (CVE-2026-26083, CVSS 9.1) betrifft FortiSandbox und dessen Cloud- sowie PaaS-Varianten. Auch hier könnten unauthentifizierte Fernzugriffe via HTTP-Anfragen zu Codeausführung führen. Zusätzlich patch Fortinet eine hochgefährliche Out-of-Bounds-Write-Schwachstelle (CVE-2025-53844) im FortiOS capwap-Daemon, die Angreifer mit Zugriff auf FortiAP-, FortiExtender- oder FortiSwitch-Geräte ausnutzen könnten. Sieben weitere mittelschwere Lücken in verschiedenen Fortinet-Produkten wurden ebenfalls geschlossen.

Ivanti veröffentlichte parallel vier Security Advisories mit sieben Sicherheitsdefekten. Die gefährlichste Schwachstelle ist CVE-2026-8043 (CVSS 9.6) – eine externe Kontrolle eines Dateinamens im Xtraction-Produkt, die es Angreifern ermöglicht, sensible Dateien zu lesen und beliebige HTML-Dateien in Web-Verzeichnisse zu schreiben. Vier weitere hochgefährliche Bugs umfassen SQL-Injection, fehlerhafte Berechtigungszuweisungen und Race Conditions in verschiedenen Ivanti-Lösungen wie Secure Access Client und Virtual Traffic Manager.

Positiv hervorzuheben ist, dass beide Hersteller berichten, dass keiner der gepatcht Schwachstellen bereits aktiv in der freien Wildbahn ausgenutzt wird. Dennoch sollten Administratoren nicht zögern: Bei Produkten, die für Fernzugriff und Netzwerkverwaltung kritisch sind, können Patches nicht schnell genug eingespielt werden. Deutsche Unternehmen und Behörden sollten ihre Systeme priorisieren und die Updates zeitnah einspielen – insbesondere in Sicherheitsbereichen, wo Ausfallzeiten nicht akzeptabel sind.

Ähnliche Artikel