Lesezeit: 6 Min.

FortiGate-Alarm: Patch-Bypass bei kritischer Auth-Lücke aktiv

Berichten zufolge gelingt es Angreifern, eine bereits behobene, kritische Authentifizierungs-Schwachstelle in Fortinet FortiGate-Firewalls über einen Patch-Bypass erneut auszunutzen (CVE-2025-59718). Betroffen sind damit auch Systeme, die als „gepatcht“ galten. Was bedeutet das für Deine IT-Sicherheit – und welche Maßnahmen solltest Du jetzt ergreifen?

Was ist passiert? Patch-Bypass unterläuft Fix

Mehrere Fortinet-Kunden melden aktive Angriffe, bei denen ein Patch-Bypass die Absicherung gegen eine zuvor geschlossene Authentifizierungs-Lücke in FortiGate umgeht. Praktisch gesprochen: Ein Update wurde eingespielt, doch Angreifer verwenden eine alternative Angriffstechnik, um die ursprüngliche Schwachstelle dennoch zu triggern. Für Verteidiger ist das besonders heikel, weil ein Patch-Bypass den „gepatcht“-Status trügerisch macht.

Im Kern geht es um unautorisierte Zugriffe auf FortiGate-Komponenten – typischerweise dort, wo Web-basierte Management- oder VPN-Funktionen exponiert sind. Solche Angriffe werden häufig für initialen Zugriff, Persistenz und Seitwärtsbewegung genutzt, mit Folgerisiken wie Ransomware, Datendiebstahl und Unterbrechungen geschäftskritischer Prozesse.

Warum Patch-Bypässe so gefährlich sind

• N-Day-Exploitation: Angreifer nutzen bekannte Schwachstellen – aber mit neuem Twist. Das beschleunigt Exploitation und senkt ihre Kosten.
• Trügerische Sicherheit: „Patched“ wird fälschlich mit „sicher“ gleichgesetzt. Ein Bypass hebelt diese Annahme aus.
• Hohe Ausnutzbarkeit: Authentifizierungs-Bugs in VPN/Firewall-Komponenten sind attraktive Ziele – sie sitzen am Rand des Netzes und sind oft direkt aus dem Internet erreichbar.

Wer ist betroffen und welche Risiken drohen?

Betroffen sind Fortinet-Kunden mit FortiGate-Firewalls, vor allem wenn Management- oder SSL-VPN-Interfaces aus dem Internet erreichbar sind. Angreifer können – je nach Konfiguration – Admin-Zugriff erlangen, Konfigurationen manipulieren, Backdoors setzen oder Zugangsdaten abgreifen. Das Risiko ist besonders hoch in Umgebungen mit schwacher Netzwerksegmentierung oder ohne strikte Zugriffskontrollen.

Für Unternehmen bedeutet das: Ein erfolgreicher Angriff kann schnell zu Ransomware, Datendiebstahl und Betriebsunterbrechungen führen. Auch Compliance-Anforderungen (z. B. ISO 27001, NIS2) geraten in Gefahr, wenn Edge-Geräte nicht angemessen gehärtet und überwacht werden.

Sofortmaßnahmen für Admins: So reduzierst Du das Risiko heute

1) Sichtbarkeit schaffen und Risiken eingrenzen

• Angriffsfläche reduzieren: Schränke die Erreichbarkeit des Management-Interfaces strikt ein (z. B. nur intern/VPN, IP-Allowlist, Jump-Host). Deaktiviere unnötige Dienste.
• VPN prüfen: Wenn praktikabel, SSL-VPN nur über definierte Gateways/Policies freigeben oder vorübergehend einschränken. Alternativ IPSec nutzen.
• Updates & PSIRT: Prüfe tagesaktuell Fortinet-PSIRT-Hinweise und Release-Notes. Spiel verfügbare Hotfixes ein – auch wenn bereits ein Patch installiert wurde.

2) Erkennung schärfen und Spuren sichern

• Logs zentralisieren: Leite Ereignisse ins SIEM/Log-Archiv. Achte auf Anomalien wie wiederholte Login-Versuche, neue Admin-Konten, unerwartete Konfigurationsänderungen oder plötzliche VPN-Sessions außerhalb üblicher Zeiten.
• IoC-Hunting: Suche nach verdächtigen IPs/User-Agents, ungewöhnlichen System-Events oder unbekannten Policy-Objekten. Prüfe Cron-/Task-Änderungen und Custom-Skripte.
• IR-Playbook: Lege Quarantäne- und Rollback-Schritte fest. Teste Notfallzugänge (Out-of-Band-Management).

3) Härtung und Zugriffskontrollen

• MFA erzwingen: Für alle Admin- und Remote-Zugänge – möglichst mit Phishing-resistenten Faktoren (z. B. FIDO2).
• Least Privilege: Admin-Rollen trennen, Zugriffsrechte zeitlich begrenzen, starke Passwortrichtlinien durchsetzen.
• Netzwerksegmentierung: Kritische Systeme von Benutzersegmenten und vom Internet sauber trennen; Ost-West-Verkehr kontrollieren.

Praxisbeispiel: Wie ein Mittelständler den Schaden begrenzte

Ein Fertigungsunternehmen bemerkte ungewöhnliche VPN-Anmeldungen auf seiner FortiGate außerhalb der Geschäftszeiten. Obwohl der letzte Patch eingespielt war, zeigte die Analyse verdächtige Konfigurationsänderungen und neue, nie dokumentierte Firewall-Objekte. Das Team isolierte die Appliance, setzte eine bekannte, saubere Konfiguration neu auf, rotierte alle Zugangsdaten (einschließlich Service-Accounts) und verschärfte die Management-Zugriffe über eine Jump-Box mit MFA. Ergebnis: Der Angriffsversuch blieb ohne Payload-Einsatz – Ausfallzeiten begrenzten sich auf wenige Stunden.

Mittelfristige Strategien: Resilienz gegen Ransomware & Co.

Zero Trust und Defense-in-Depth

• Zero-Trust-Access: Vertraue keinem Netzwerk per se. Nutze kontextbasierte Policies, starke Identitäten und kontinuierliche Verifikation.
• Defense-in-Depth: Ergänze Edge-Security durch EDR/XDR, Threat Intelligence und robuste Backup-/Recovery-Prozesse.

Security Awareness und Prozesse

• Security Awareness: Kombiniere technische Härtung mit geschulten Teams. Empfehlenswert: Awareness-Trainings und Phishing-Simulationen, um Social Engineering zu reduzieren.
• Patch-Management 2.0: Beurteile Updates risikobasiert, teste Rollbacks und etabliere schnelle Change-Fenster für kritische Appliances.
• Monitoring & Notfallübungen: Regelmäßige Red-Team-/Purple-Team-Übungen und Überprüfung der Security-Blog-Leitfäden.

Pro & Contra: Managed Firewall-Service vs. Eigenbetrieb

• Pro Managed Service: 24/7-Monitoring, schnelleres Patchen, dedizierte Expertise, definierte SLAs.
• Contra Managed Service: Abhängigkeit vom Dienstleister, Kosten, potenzielle Verzögerungen bei kundenspezifischen Änderungen.
• Pro Eigenbetrieb: Volle Kontrolle, maßgeschneiderte Policies, keine Provider-Latenzen.
• Contra Eigenbetrieb: Hoher Personal- und Weiterbildungsaufwand, Risiko von Blind Spots, Reaktionszeiten außerhalb der Geschäftszeiten.

Fazit: Jetzt handeln und Angriffsfläche minimieren

Der gemeldete Patch-Bypass für CVE-2025-59718 zeigt, wie dynamisch Bedrohungen an der Netzwerk-Perimeter sind. Verlasse Dich nicht auf den „gepatcht“-Status allein. Reduziere die Exponierung, härte Zugänge, erhöhe Deine Sichtbarkeit und halte Incident-Response-Prozesse einsatzbereit. Prüfe täglich Fortinet-Hinweise und reagiere schnell auf neue Builds oder Workarounds.

Du möchtest Dein Team und Deine Prozesse fit machen? Starte mit Security Awareness, teste Deine Verteidigung mit Phishing-Simulationen und abonniere unseren Security-Blog für aktuelle Analysen und Handlungsempfehlungen.