FortiBleed: Administrator-Passwörter bei 75.000 Fortinet-Firewalls geknackt
Eine massive Sicherheitslücke bedroht weltweit Unternehmen, die Fortinet-Firewalls einsetzen. Unter dem Begriff “FortiBleed” wird derzeit ein Vorfall diskutiert, bei dem Angreifer Administrator-Zugänge von rund 75.000 Fortinet-Geräten kompromittiert haben. Wir erklären Dir, was passiert ist und wie Du Dein Unternehmen schützen kannst.
Was ist passiert?
Sicherheitsforscher haben eine erschreckende Entdeckung gemacht: Mutmaßlich russischsprachige Angreifer haben es geschafft, die Administrator-Passwörter von knapp 75.000 Fortinet-Firewalls zu knacken. Die gestohlenen Zugangsdaten wurden im Klartext online offengelegt – ein Albtraum für jedes Unternehmen, das auf die Sicherheit dieser Geräte vertraut.
Der Sicherheitsforscher Volodymyr “Bob” Diachenko entdeckte die Daten, nachdem er sich Zugang zum Command-and-Control-Server der Angreifer verschafft hatte. Die Daten stammen vermutlich aus Konfigurationsexporten der Geräte und enthalten Informationen, die eigentlich nur auf dem Gerät selbst sichtbar sein sollten.
Wer ist betroffen?
Die Zahlen sind alarmierend: Fast 74.000 Fortinet-Geräte von mehr als 21.000 IP-Adressen in 194 Ländern sind kompromittiert. Darunter befinden sich einige der weltweit größten und einflussreichsten Unternehmen wie:
- Oracle
- Chevron
- Lenovo
- Federal Express
- NATO-Rüstungszulieferer
- Sogar Fortinet selbst
Auch deutsche Unternehmen und Institutionen sind betroffen. Eine Suchmaschine von Hudson Rock zeigt, dass Domains wie netcologne.de, mercedes-benz.com, med-uni-tuebingen.de oder dekra.com in der Liste auftauchen.
Wie konnten die Angreifer erfolgreich sein?
Die genaue Vorgehensweise der Angreifer ist noch nicht vollständig geklärt. Es gibt jedoch drei kritische Schwachstellen in der Fortinet-Sandbox, die aktiv ausgenutzt werden:
Die drei Sicherheitslücken im Detail:
- CVE-2026-39813 – Im April 2026 behoben
- CVE-2026-39808 – Im April 2026 behoben
- CVE-2026-25089 – Erst kürzlich gefixt
Alle drei Schwachstellen wurden mit einem CVSS-Score von 9,1 eingestuft – das bedeutet “kritisch”. Sie ermöglichen es Angreifern, die Authentifizierung zu umgehen, Berechtigungen zu erweitern und bösartigen Code auszuführen.
Interessanterweise gab Fortinet bei der Veröffentlichung der Patches an, dass keine aktive Ausnutzung bekannt sei. Diese Einschätzung scheint sich nun als falsch herausgestellt zu haben.
Was bedeutet das für Dein Unternehmen?
Wenn Dein Unternehmen eine Fortinet-Firewall einsetzt, besteht akutes Handlungsbedarf. Mit kompromittierten Administrator-Zugängen können Angreifer:
- Vollständige Kontrolle über Deine Firewall übernehmen
- Sicherheitsregeln nach Belieben ändern
- Dein gesamtes Netzwerk kompromittieren
- Als Sprungbrett für weitere Angriffe nutzen
- Vertrauliche Unternehmensdaten abgreifen
Sofortmaßnahmen: Das musst Du jetzt tun
1. Prüfe, ob Du betroffen bist
Hudson Rock hat eine Suchmaschine bereitgestellt, mit der Du überprüfen kannst, ob Deine Domain in der Liste der kompromittierten Systeme auftaucht. Gib einfach Deine Unternehmensdomain ein und prüfe das Ergebnis.
2. Ändere sofort alle Administrator-Passwörter
Auch wenn dies nur eine temporäre Maßnahme sein könnte, solltest Du umgehend alle Administrator-Kennwörter Deiner Fortinet-Geräte ändern. Nutze dabei sichere, komplexe Passwörter mit mindestens 16 Zeichen.
3. Überprüfe die Erreichbarkeit des Admin-Interfaces
Stelle sicher, dass das Verwaltungsinterface Deiner Firewall nicht direkt aus dem Internet erreichbar ist. Dies ist ein häufiger Konfigurationsfehler, der solche Angriffe erst ermöglicht.
4. Installiere alle verfügbaren Updates
Fortinet hat bereits Patches für die bekannten Schwachstellen veröffentlicht. Installiere diese Updates umgehend auf allen Deinen Fortinet-Geräten.
5. Untersuche Dein Netzwerk auf Kompromittierung
Prüfe Deine Logs auf verdächtige Aktivitäten. Achte besonders auf:
- Ungewöhnliche Login-Versuche
- Konfigurationsänderungen, die Du nicht autorisiert hast
- Unbekannte Firewall-Regeln
- Verdächtige Datenübertragungen
Langfristige Sicherheitsmaßnahmen
Dieser Vorfall zeigt einmal mehr, wie wichtig ein ganzheitliches Sicherheitskonzept ist. Wir empfehlen Dir folgende Maßnahmen:
Implementiere Zwei-Faktor-Authentifizierung
Schütze administrative Zugänge zusätzlich mit einer Zwei-Faktor-Authentifizierung. So reicht ein gestohlenes Passwort allein nicht aus, um Zugang zu erhalten.
Setze auf Netzwerksegmentierung
Selbst wenn eine Firewall kompromittiert wird, sollten Angreifer nicht sofort auf Dein gesamtes Netzwerk zugreifen können. Eine saubere Netzwerksegmentierung schränkt den möglichen Schaden erheblich ein.
Etabliere ein Patch-Management
Sicherheitsupdates müssen zeitnah eingespielt werden. Ein strukturiertes Patch-Management stellt sicher, dass keine kritischen Updates übersehen werden.
Führe regelmäßige Sicherheitsaudits durch
Überprüfe regelmäßig Deine Sicherheitskonfigurationen und teste, ob administrative Interfaces wirklich nur aus sicheren Netzwerken erreichbar sind.
Wie wir Dir helfen können
Als IT-Experten für Unternehmen aus Weiterstadt und Umgebung unterstützen wir Dich bei allen Sicherheitsfragen. Ob Du wissen möchtest, ob Du von FortiBleed betroffen bist, Hilfe bei der Absicherung Deiner Systeme benötigst oder ein umfassendes Sicherheitskonzept entwickeln möchtest – wir stehen Dir zur Seite.
Wir bieten Dir:
- Überprüfung Deiner Fortinet-Installationen
- Unterstützung bei der Incident-Response
- Implementierung von Sicherheitsmaßnahmen
- Regelmäßige Sicherheitsaudits
- Aufbau eines strukturierten Patch-Managements
Fazit: Schnelles Handeln ist entscheidend
Der FortiBleed-Vorfall zeigt, dass selbst renommierte Sicherheitslösungen Schwachstellen aufweisen können. Entscheidend ist, wie schnell Du auf solche Bedrohungen reagierst. Die kompromittierten Firewalls sind größtenteils noch online – das bedeutet, die Gefahr ist akut und real.
Zögere nicht, Deine Fortinet-Geräte zu überprüfen und die empfohlenen Maßnahmen umzusetzen. Je länger Du wartest, desto größer wird das Risiko für Dein Unternehmen.
Hast Du Fragen zu FortiBleed oder benötigst Du Unterstützung bei der Absicherung Deiner IT-Infrastruktur? Kontaktiere uns – wir helfen Dir gerne weiter!