Fortinet meldet eine ausgenutzte Schwachstelle beim administrativen FortiCloud-Login. Für KMU zählen jetzt der genaue Gerätestand, nachvollziehbare Zugänge und eine Prüfung auf unerwartete Änderungen.
Am 27. Januar 2026 hat Fortinet die Sicherheitsmeldung FG-IR-26-060 zu CVE-2026-24858 veröffentlicht. Die Lücke betrifft den administrativen FortiCloud-SSO-Zugang bestimmter Fortinet-Produkte. Ein Angreifer mit eigenem FortiCloud-Konto und registriertem Gerät kann darüber auf Geräte anderer Konten gelangen, wenn dort diese Anmeldefunktion aktiviert ist. Der Hersteller bestätigt bereits beobachtete Ausnutzung. Die Details stehen in der Fortinet-Sicherheitsmeldung vom 27. Januar.
Welche Anmeldung ist betroffen?
Single Sign-on erleichtert die Anmeldung mit einem zentralen Konto. Hier geht es konkret um den FortiCloud-Zugang zur Geräteverwaltung. Die bloße Tatsache, dass ein Unternehmen eine Firewall betreibt, beantwortet die Betroffenheitsfrage deshalb noch nicht. Entscheidend sind Produkt, Firmware und die aktivierte administrative Anmeldemethode.
Fortinet hat FortiCloud-SSO am 26. Januar vorübergehend deaktiviert und am 27. Januar wieder freigegeben; verwundbare Gerätestände werden dabei nicht mehr unterstützt. Am 28. Januar stellte der Hersteller außerdem klar, dass eigene SAML-Identitätsanbieter und FortiAuthenticator von diesem Problem nicht betroffen sind. Diese zeitliche Einordnung liefert die Herstelleranalyse mit den Januar-Aktualisierungen.
Für KMU zählt eine belastbare Bestandsaufnahme
Unsere Empfehlung: Erfassen Sie zuerst, welche Geräte und Verwaltungszugänge tatsächlich eingesetzt werden. Zu einem sinnvollen Bestand gehören Modell, installierter Softwarestand, verantwortliche Betreuung und die Frage, von welchen Netzen aus die Verwaltung erreichbar ist. Auch ein Gerät an einem Nebenstandort sollte in dieser Übersicht auftauchen.
Das schafft eine klare Entscheidung: Ist die Umgebung betroffen, welche Herstellerkorrektur passt dazu und wer setzt sie um? Ein pauschaler Hinweis, alle Geräte seien aktuell, hilft weniger als eine dokumentierte Prüfung des konkreten Bestands. Bewahren Sie das Ergebnis zusammen mit dem Wartungsprotokoll auf, damit die nächste Warnmeldung nicht wieder bei null beginnt.
Update und Vorfallprüfung gemeinsam planen
Ein Update schließt eine Softwarelücke. Bei bereits möglichen unbefugten Zugriffen ist zusätzlich zu klären, ob Konten oder Einstellungen verändert wurden. Fortinet beschreibt in seiner Analyse unter anderem neu angelegte lokale Administratoren. Für bestätigte Kompromittierungsindikatoren empfiehlt der Hersteller, Gerät und Konfiguration als kompromittiert zu behandeln.
Für den Betrieb bedeutet das: Sichern Sie relevante Protokolle, bevor sie durch weitere Ereignisse überschrieben werden. Stimmen Sie die Prüfung mit der technischen Betreuung ab und trennen Sie dokumentierte Wartungsänderungen von ungeklärten Änderungen. Bei Auffälligkeiten sollte ein nachvollziehbarer Vorfallprozess greifen, mit klarer Verantwortung und einer Entscheidung über weitere Maßnahmen.
Planen Sie parallel ein passendes Wartungsfenster. Halten Sie fest, welche Verbindungen nach der Änderung funktionieren müssen und wer dies prüft. So wird aus einer einzelnen Sicherheitsmeldung ein kontrollierter Arbeitsauftrag statt einer unübersichtlichen Folge spontaner Eingriffe.
Aus der Warnung einen klaren Firewall-Auftrag machen
Für Ihr Unternehmen ist eine konkrete Entscheidung hilfreicher als eine allgemeine Warnung: Welche Firewall-Zugänge müssen geprüft werden und welche Änderung ist erforderlich? Unsere IT-Betreuung unterstützt Sie dabei, Gerätestand und administrative Anmeldemethoden zu erfassen, Herstellerhinweise zuzuordnen und relevante Protokolle gemeinsam mit der zuständigen Betreuung auszuwerten.
Unser Expertenteam bei innos stimmt mit Ihnen den Umfang einer Wartung, ein passendes Wartungsfenster und die anschließende Funktionsprüfung ab. Dabei halten wir auch fest, wer ungeklärte Verwaltungsänderungen weiter untersucht. Sie erhalten so einen nachvollziehbaren Auftrag für Ihre Umgebung und können entscheiden, welche Maßnahmen als Nächstes umgesetzt werden sollen.
Häufige Fragen
Ist jede Fortinet-Firewall automatisch betroffen?
Nein. Prüfen Sie die in der Herstellerwarnung genannten Produkte und Firmwarestände sowie den aktivierten FortiCloud-SSO-Zugang. Der Markenname allein reicht für eine Bewertung nicht aus.
Reicht es, die Anmeldung wieder zu erreichen?
Ein funktionierender Login sagt wenig über frühere Änderungen aus. Bei dieser Meldung sollten Softwarekorrektur und Prüfung ungewöhnlicher Verwaltungsaktivität zusammen betrachtet werden.
Was sollte nach der Prüfung dokumentiert sein?
Gerätestand, Ergebnis der Betroffenheitsprüfung, durchgeführte Maßnahmen und die getesteten Betriebsfunktionen. Das hilft bei der nächsten Wartung und bei einer späteren Ursachenanalyse.
Ihre Firewall-Prüfung konkret vorbereiten
Sie möchten Softwarestand, Zugänge und Wartungsbedarf Ihrer Firewall klären? Geben Sie unserem Expertenteam bei innos den Auftrag, den Bestand und die Herstellerhinweise einzuordnen sowie Protokollprüfung und Wartungsfenster abzustimmen. Daniel ist Ihr Einstieg zum Team. Mehr zu den Aufgaben finden Sie in unserer IT-Betreuung.