Kurzfassung

Fortinet meldet mit CVE-2026-26035 eine kritische Schwachstelle in FortiWeb. Laut NVD kann ein Angreifer ohne gültige Anmeldung auf die Verwaltungsoberfläche zugreifen und sich mit frei gewählten Zugangsdaten an GUI oder CLI anmelden. Das ist kein Feinproblem, sondern ein direkter Pfad in die Administration.

Betroffen sind mehrere Versionen aus den Zweigen 7.0, 7.2, 7.4, 7.6 und 8.0. Wer FortiWeb produktiv betreibt, sollte die eigene Version jetzt gegen die betroffenen Bereiche prüfen und den Herstellerhinweisen folgen. Für DACH-Unternehmen mit exponiertem Web-Frontend ist das relevant. Für reine Privatnutzer spielt es nur dann eine Rolle, wenn sie dieses Produkt tatsächlich einsetzen.

Was ist passiert?

Die Schwachstelle betrifft die Authentifizierung in FortiWeb. Nach Angaben der NVD kann ein entfernter, nicht authentifizierter Angreifer sich an der Verwaltungsoberfläche anmelden, obwohl er keinen gültigen Zugang besitzt. Das Problem liegt also nicht bei einem einzelnen Admin-Konto, sondern bei der Prüflogik selbst.

Praktisch heißt das: Wer das Gerät aus dem Netz erreichbar macht, öffnet unter Umständen die Tür zur Verwaltung. Genau dort sitzen die sensiblen Funktionen. Einstellungen ändern, Schutzregeln anpassen, Logs einsehen, weitere Angriffe vorbereiten. Bei einer WAF oder einem Web-Security-Produkt ist das eine unangenehme Position.

Technische Details

Die NVD ordnet das Problem als CWE-287 ein, also als fehlerhafte Authentifizierung. Der CVE-Eintrag nennt als Angriffsweg einen Remote-Zugriff ohne vorherige Anmeldung. Als Folge soll sich der Angreifer mit zufälligem Benutzernamen und Passwort in GUI oder CLI einloggen können. Das ist ungewöhnlich genug, um ernst genommen zu werden.

Als betroffen nennt der Eintrag FortiWeb 8.0.0 bis 8.0.2, 7.6.0 bis 7.6.6, 7.4.0 bis 7.4.11, 7.2.0 bis 7.2.12 und 7.0.0 bis 7.0.12. Ob weitere Zweige oder Ableger betroffen sind, lässt die Quelle offen. Ebenfalls offen bleibt hier, ob bereits ein Patch oder eine Umgehung veröffentlicht wurde; der NVD-Auszug nennt nur die Schwachstelle und die Versionen.

Wer ist betroffen?

Betroffen sind alle Organisationen, die FortiWeb in einer der genannten Versionen einsetzen. In der Praxis trifft das vor allem Unternehmen mit öffentlichen Webanwendungen, E-Commerce, Portalen oder APIs. Wer die Verwaltungsoberfläche aus dem Internet erreichbar hat, trägt ein unnötig hohes Risiko.

Für DACH-Admins zählt jetzt vor allem die Inventur. Welche FortiWeb-Instanzen laufen wo, mit welcher Version, und über welche Netze ist die Administration erreichbar? Viele Sicherheitsvorfälle eskalieren nicht wegen der Lücke allein, sondern weil niemand die betroffene Appliance sauber im Blick hat.

Empfohlene Maßnahmen

Prüfen Sie zuerst die Version. Liegt eine Instanz in einem der betroffenen Bereiche, gehört sie auf die Prioritätenliste ganz nach oben. Danach sollte die Verwaltungsoberfläche nur noch aus vertrauenswürdigen Netzen erreichbar sein. Wenn das Gerät heute direkt exponiert ist, ist das ein eigenes Problem, selbst vor dem Patch.

Dann gilt: Herstellerhinweise lesen, Update einplanen, Wartungsfenster setzen. Wer mehrere Appliances betreibt, sollte Konfigurationen und Backup-Status vor dem Eingriff sichern. Nach dem Update gehören die Admin-Zugänge kontrolliert, ungewöhnliche Sessions geprüft und die Logs auf verdächtige Anmeldeversuche durchsucht. Falls keine aktuelle Kompensationsmaßnahme vorliegt, ist eine harte Netzabschottung bis zum Patch die vernünftigste Zwischenlösung.

Einschätzung von CyberSecurity-News.de

Die Schwachstelle ist fachlich klar und operativ heikel. Eine fehlerhafte Authentifizierung auf einem Verwaltungsprodukt ist kein Randthema, sondern kann direkt in die Kontrolle des Systems führen. Für betroffene Unternehmen ist das deutlich relevanter als viele Pressemitteilungen zu CVEs vermuten lassen.

Wenig überzeugend ist die dünne Informationslage im NVD-Eintrag selbst. Er benennt die betroffenen Versionen sauber, sagt aber nichts zur Verfügbarkeit eines Fixes oder zu möglichen Workarounds. Das zwingt Admins zu zusätzlicher Recherche beim Hersteller. Genau so etwas kostet im Alltag Zeit, und Zeit ist bei exponierten Security-Appliances knapp.

Fazit

CVE-2026-26035 ist für FortiWeb-Betreiber ernst. Wer eine betroffene Version einsetzt, sollte nicht abwarten, sondern den Patch- und Absicherungsstand sofort prüfen. Besonders kritisch ist jede Instanz, deren Verwaltung von außen erreichbar ist.

Für die meisten Leser außerhalb der FortiWeb-Welt bleibt die Meldung ohne direkte Relevanz. Wer das Produkt aber im Netz hat, sollte jetzt handeln statt später zu reagieren.

Quellenangabe

NVD-Eintrag zu CVE-2026-26035: https://nvd.nist.gov/vuln/detail/CVE-2026-26035