Fortinet BeyondTrust Schwachstellen: CISA meldet Angriffe

Zwei Fortinet BeyondTrust Schwachstellen sind seit dem 16. Oktober 2026 offiziell als aktiv ausgenutzt eingestuft. CVE-2026-102764 in BeyondTrust Remote Support und CVE-2025-61624 in mehreren Fortinet-Produkten wurden in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen — begründet mit „evidence of active exploitation". Betroffen ist damit Fernwartungs- und Administrationsinfrastruktur, also genau jene Systeme, über die Angreifer besonders weit ins Netz kommen.

Fortinet BeyondTrust Schwachstellen im KEV-Katalog

Die Aufnahme erfolgte am Freitag, dem 16. Oktober 2026. Die Einträge dienen nicht als klassisches Advisory, sondern als Priorisierungsliste für US-Bundesbehörden: Wer dort steht, muss handeln — unabhängig davon, wie gut das Produkt sonst dasteht.

Auffällig ist die Spannweite der beiden Einträge. Auf der einen Seite steht eine Lücke mit CVSS4 9,3 und der Einstufung „kritisch", auf der anderen eine als „mittel" bewertete Path-Traversal-Schwachstelle. Für US-Behörden gilt nach der KEV-Aufnahme eine Patch-Frist bis zum 19. Oktober 2026, also drei Tage nach Veröffentlichung — diese Frist ist bislang allerdings nur einfach belegt.

BeyondTrust Remote Support: kritisch, aber Details fehlen

Betroffen ist BeyondTrust Remote Support, früher unter dem Namen Bomgar bekannt, in Version 26.2.3 und früher. Fixes sind für Fassungen ab 24.3.1 verfügbar; wer ältere Stände einsetzt, muss zunächst auf eine unterstützte Version aktualisieren, bevor das Update überhaupt greift.

Technisch beschrieben wird eine unzureichende Prüfung des Ursprungs empfangener Nachrichten. Unter Bedingungen, die öffentlich nicht genannt sind, sollen dadurch Dateioperationen auf den Appliances möglich sein. Die Lücke deckt einen vollständigen Angriffspfad ab: initialer Zugriff, Etablierung im System, Rechteausweitung, laterale Bewegung.

Dazu existiert ein Widerspruch, den man kennen sollte. Eine Einordnung als „Authentication Bypass" steht der Beschreibung einer fehlerhaften Ursprungsprüfung gegenüber. Belastbar ist die fehlerhafte Nachrichtenprüfung; die Klassifizierung als Auth Bypass bleibt eine zweite, abweichende Lesart — gedeckt ist sie durch die technische Beschreibung nicht.

Klar ist dagegen der behördliche Rahmen: Verlangt werden „Apply mitigations in accordance with vendor instructions" sowie eine forensische Nachprüfung; die Vorgaben finden sich in BOD 26-04. Beim Feld „Known To Be Used in Ransomware Campaigns?" steht „Unknown" — einen Beleg für einen Ransomware-Einsatz gibt es nicht.

Fortinet: Path Traversal mit Admin-Voraussetzung

CVE-2025-61624 betrifft FortiOS, FortiPAM, FortiProxy und FortiSwitchManager. Der Angriff setzt Authentifizierung mit Admin-Profil und mindestens Lese-/Schreibrechten voraus — die Lücke ist damit ein Werkzeug für Angreifer, die bereits einen Fuß im System haben, kein Einlass von außen.

Wer diese Voraussetzungen erfüllt, kann per Kommandozeilenbefehl beliebige Dateien schreiben oder löschen. Bewertet wird die Lücke mit CVSS 6.0 und 6.5 — eine Differenz zwischen zwei Einschätzungen. Beide Werte liegen im mittleren Bereich und unterstreichen den realen Effekt: Dateisystemzugriff mit Adminrechten.

Gepatcht sind FortiOS 7.6.5 und 7.4.10, FortiPAM 1.7.1, FortiProxy 7.6.5 und 7.4.12 sowie FortiSwitchManager 7.2.8 und 7.0.7, jeweils inklusive neuerer Releases. Wer noch ältere Versionszweige betreibt, muss migrieren; ein Update innerhalb des Zweigs gibt es nicht.

Von FortiJump zu Peerstitch: die dokumentierte Kette

Interessanter als der Score ist der Kontext. Dokumentiert ist eine Attacke auf einen Managed-Service-Telekommunikationsanbieter, bei der der initiale Zugang bereits im September 2024 über CVE-2024-47575 („FortiJump") in FortiManager erfolgte. Später missbrauchten die Angreifer die jüngere Lücke, um die Malware „Peerstitch" zu platzieren — speicherresident und auf ARM64 zugeschnitten.

Als Einfallstor für das Implant diente die FortiOS-Auto-Script-Engine, über die sich der Zugang dauerhaft halten ließ. Zudem soll PEERSTITCH über 500 Firewalls kompromittiert haben. Diese Zahl stammt aus einer einzelnen Quelle und ist nicht unabhängig bestätigt; sie sollte nicht als gesicherter Fakt weiterverbreitet werden.

Was Admins jetzt tun sollten

Priorität haben zwei Dinge: BeyondTrust Remote Support auf einen Stand oberhalb von 26.2.3 bringen (Mindestbasis 24.3.1) und alle Fortinet-Instanzen auf die genannten Fix-Versionen heben. Beides betrifft Systeme, die exponiert erreichbar sind — Remote-Support-Appliances und Admin-Interfaces von FortiManager oder FortiGate gehören nicht ungefiltert ins Internet.

Zusätzlich lohnt ein Blick auf Admin-Konten mit Lese-/Schreibrechten und auf Skript-Funktionen, die sich für Dateioperationen missbrauchen lassen. Konkrete Indicators of Compromise sind im vorliegenden Material nicht enthalten; herstellerseitige Hinweise wären vor einer forensischen Suche separat zu prüfen.

Ob Attacken auf deutsche oder europäische Installationen bekannt sind, lässt sich mit den verfügbaren Angaben nicht sagen. Eine Angreifergruppe wird für die Ausnutzung der beiden KEV-Lücken nirgends benannt.

Fazit: Priorität nach Ausnutzung, nicht nach Score

Der Fall zeigt, warum KEV-Aufnahmen praktisch mehr Gewicht haben als CVSS-Zahlen. Eine „mittlere" Lücke mit Admin-Voraussetzung landet dann auf der Liste, wenn sie in einer laufenden Kampagne als Baustein dient — als Werkzeug zur Persistenz nach dem ersten Einbruch.

Wer jetzt priorisieren muss, beginnt mit exponierten BeyondTrust-Appliances und arbeitet danach die Fortinet-Instanzen ab. Die Frist von drei Tagen für US-Behörden signalisiert, wie dringend die Aufnahme bewertet wird — auch wenn sie hier nur einfach belegt ist.

Quellen