Wenn Ihr Unternehmen eine FortiGate-Firewall betreibt, aktualisieren Sie deren Software FortiOS jetzt auf 8.0.2, 7.6.8, 7.4.13 oder 7.2.14, je nach eingesetztem Zweig. Am 21. Oktober 2026 kündigte Fortinet an, dass diese seit dem 22. Oktober verfügbaren Versionen kritische und hochgradige Schwachstellen beheben, die das Unternehmen mithilfe von Frontier-KI-Modellen gefunden hat, und dass es die Details am 10. November veröffentlicht. Ab diesem Datum weiß jeder Angreifer, wo er suchen muss, und nicht aktualisierte Geräte werden zu leichten Zielen. Das Update braucht meist nur ein kurzes Wartungsfenster; es aufzuschieben ist das eigentliche Risiko.

Was genau hat Fortinet angekündigt?

Carl Windsor, Chief Information Security Officer von Fortinet, veröffentlichte eine offizielle Mitteilung mit dem Titel «Fortinet Releases Security Hardening Release for Multiple Products». Darin heißt es, die Korrekturen stammten aus einem Sicherheitstestprogramm mit Frontier-KI, das gemeinsam mit Anthropic, OpenAI, Google und SpaceX durchgeführt wird, also mit 4 externen Organisationen. CVE-Nummern und Bewertungen hat Fortinet noch nicht veröffentlicht; sie erscheinen am 10. November in den PSIRT-Hinweisen. Anfang des Monats haben wir über eine ausgenutzte FortiMail-Lücke berichtet; diese Veröffentlichung ist umfassender, weil sie die Firewall selbst betrifft.

Warum nicht bis zum 10. November warten?

Fortinet nennt den Grund selbst: KI-Werkzeuge helfen Angreifern inzwischen, die alte mit der neuen Version zu vergleichen, aus dem Unterschied die Lücke abzuleiten und in Stunden oder Tagen statt Wochen einen funktionierenden Exploit zu bauen. Ein veröffentlichter Fix verrät also einen Teil des Geheimnisses, und die 19 Tage zwischen dem 22. Oktober und dem 10. November sind keine sichere Schonfrist, sondern ein Wettlauf. Fortinet ergänzt, dass KI auch weniger schwere Lücken verketten kann, bis sie ausnutzbar werden.

Am stärksten gefährdet sind Unternehmen, deren Mitarbeitende per VPN über eine FortiGate von unterwegs arbeiten, die ihre Filialen und Lager darüber mit der Zentrale verbinden oder die ihre Geräte von außerhalb des Büros über das Internet verwalten. In diesen Fällen ist das Gerät für jeden im Internet sichtbar und das Erste, was ein Angreifer ausprobiert, sobald die Details bekannt sind. Wenn ein externer Dienstleister Ihr Gerät betreut, gehen Sie nicht davon aus, dass er es aktualisiert hat: Verlangen Sie eine schriftliche Bestätigung der neuen Versionsnummer und des Upgrade-Datums.

Welche Versionen brauchen Sie?

  • FortiOS (das Betriebssystem der FortiGate): 8.0.2 für den Zweig 8.0, 7.6.8 für 7.6, 7.4.13 für 7.4 und 7.2.14 für 7.2, oder jede neuere Version.
  • FortiManager und FortiAnalyzer (zentrale Verwaltung und Protokolle): 8.0.2, 7.6.8, 7.4.12 und 7.2.13 oder neuer.
  • FortiMail (E-Mail-Gateway): 8.0.2, 7.6.7 und 7.4.9; der Zweig 7.2 muss auf 7.4 oder neuer wechseln.
  • FortiAuthenticator (Identität): 8.0.4 und 6.6.11 oder neuer.

Läuft Ihr Gerät auf einem Zweig, der nicht in dieser Liste steht, fragen Sie Ihren Dienstleister, ob dieser Zweig überhaupt noch Sicherheitsupdates erhält. Wenn nicht, braucht das Gerät ein größeres Upgrade.

Fünf Schritte, die Sie diese Woche von Ihrem IT-Team verlangen sollten

  1. Bestandsaufnahme: eine Liste aller FortiGate- und FortiManager-Geräte in Zentrale und Filialen mit der jeweiligen Version.
  2. Internet-exponierte Geräte zuerst: Die Firewall, die VPN-Verbindungen der Mitarbeitenden annimmt oder Ihre Filialen verbindet, wird zuerst aktualisiert, wie Fortinet es empfiehlt.
  3. Konfiguration vor dem Upgrade sichern: damit Sie zurückkehren können, falls etwas schiefgeht.
  4. Den richtigen Upgrade-Pfad einhalten: Sprünge zwischen weit auseinanderliegenden Versionen können Zwischenschritte erfordern, und das offizielle Upgrade-Pfad-Werkzeug von Fortinet listet sie auf.
  5. Protokolle prüfen: Suchen Sie nach ungewöhnlichen Administrator-Anmeldungen am Gerät; die Mitteilung empfiehlt dies ausdrücklich.

Wenn Sie nicht sofort aktualisieren können

Als Übergangslösung empfiehlt Fortinet, die Verwaltungsschnittstellen (HTTPS und SSH) auf vertrauenswürdige IP-Adressen zu beschränken, die Verwaltung an der Internet-Schnittstelle abzuschalten, für jedes Administratorkonto starke, eindeutige Passwörter zu verwenden und Multi-Faktor-Authentifizierung für alle Administratoren zu erzwingen. Diese Maßnahmen senken das Risiko, ohne es zu beseitigen; sie sind eine Brücke bis zum Upgrade, kein Ersatz dafür.

Besser ist es, den Upgrade-Termin jetzt festzulegen, statt auf einen passenden Moment zu warten, der nie kommt: Wählen Sie einen Abend unter der Woche oder ein Wochenende, informieren Sie Mitarbeitende und Filialen vorab über eine mögliche kurze Unterbrechung und lassen Sie sich danach vom Team einen kurzen Bericht geben, der jedes Gerät mit seiner neuen Versionsnummer aufführt. So haben Sie eine klare Dokumentation, auf die Sie beim nächsten kritischen Update zurückgreifen können.

Die Sicht von Origami

Die Firewall ist die Tür Ihres Unternehmens zum Internet, und die meisten Firmen kaufen sie und vergessen sie dann jahrelang. Neu ist, dass Angreifer heute dieselben KI-Werkzeuge haben, die die Lücken finden, sodass die Zeit zwischen der Veröffentlichung eines Fixes und der Ausnutzung der Lücke immer kürzer wird. Deshalb braucht unserer Ansicht nach jedes Unternehmen eine schriftliche Regel: wer das Gerät aktualisiert, innerhalb wie vieler Tage nach einem kritischen Fix und wer prüft, dass es erledigt wurde. Wenn Sie Ihr Netzwerk oder Ihre aus dem Internet erreichbaren Systeme prüfen lassen möchten, kontaktieren Sie uns.

Quellen