Die FortiWeb-Schwachstelle wird unter CVE-2026-26035 geführt. Nach Angaben von Fortinet betrifft sie Installationen, die mit bestimmten, nicht standardmäßigen Einstellungen konfiguriert sind. Ein entfernter, nicht authentifizierter Angreifer könne die Lücke ausnutzen, „um sich mit einem zufälligen Benutzernamen und Passwort an der FortiWeb-GUI oder -CLI anzumelden“.
Hintergrund ist laut Fortinet die Wildcard-Einstellung für Administratorkonten, die standardmäßig deaktiviert ist. Wenn sie aktiviert wird, ordnet das System jeden Benutzernamen auf einem entfernten Server dem Konto „Remote User“ zu. Fortinet erläutert dazu: „Wenn Wildcard aktiviert ist und Sie im Admin User Group (User > User Group > Admin Group) einen Gruppennamen definiert haben, gleicht das System die Benutzer auf dem entfernten Server ab, deren Gruppenname mit dem von Ihnen definierten Wert übereinstimmt.“ Als Abhilfe empfiehlt der Hersteller, die Wildcard-Einstellung zu deaktivieren.
Behoben wurde CVE-2026-26035 in den FortiWeb-Versionen 8.0.3, 7.6.7, 7.4.12 und 7.2.13.
Die zweite besonders relevante Schwachstelle betrifft FortiManager und wird als CVE-2026-70468 geführt. Fortinet beschreibt sie als Authentifizierungsumgehung. Ein entfernter Angreifer kann damit jede von FortiManager verwaltete FortiGate-Appliance imitieren. Voraussetzung ist allerdings, dass eine bestimmte CLI-Option gesetzt ist und der Angreifer über ein gültiges Zertifikat verfügt.
Ebenfalls am Mittwoch hat Fortinet eine hoch eingestufte Pufferüberlauf-Schwachstelle in FortiClient für Windows geschlossen. Die unter CVE-2026-70465 geführte Lücke könnte es nicht authentifizierten Angreifern ermöglichen, beliebigen Code auszuführen, sofern sie DNS-Antworten verändern oder präparieren können.
Darüber hinaus beseitigte das Unternehmen Sicherheitsfehler mittlerer und niedriger Schwere in FortiWeb WAF, FortiOS und FortiSIEM. Außerdem veröffentlichte Fortinet einen Hinweis zu den Auswirkungen von CVE-2026-49975, dem HTTP/2-Bombenangriff auf den Apache HTTP Server.
Fortinet erwähnt nicht, dass eine der nun gepatchten Schwachstellen bereits bei Angriffen in freier Wildbahn ausgenutzt wurde. Weitere Informationen verweist das Unternehmen auf seine PSIRT-Hinweisseite.