FortiCloud SSO Schwachstelle bei Authentifizierung (CVE-2026-24858)

In dieser Woche hat Fortinet eine dringend zu lesende Sicherheitswarnung veröffentlicht: eine kritische Authentifizierungs-Bypass-Schwachstelle in der FortiCloud Single Sign-On (SSO) Funktion, die aktiv in der Wildnis ausgenutzt wurde. Das betrifft FortiOS, FortiManager, FortiAnalyzer und FortiProxy, sofern FortiCloud-SSO aktiviert ist – und dieses Feature ist häufiger aktiv, als du denkst.

Worum geht es?

Die Schwachstelle, offiziell als Authentication Bypass Using an Alternate Path or Channel (CWE-288) klassifiziert (unter anderem CVE-2026-24858), ermöglicht es einem Angreifer mit einem eigenen FortiCloud-Konto und registriertem Gerät, sich auf anderen Geräten einzuloggen, die zu anderen Accounts gehören, wenn FortiCloud SSO aktiviert ist.

Das erschreckende daran: FortiCloud SSO ist nicht standardmäßig aktiviert, wird aber bei der Registrierung eines Gerätes über die GUI im FortiCare-Portal automatisch eingeschaltet, wenn der Admin den entsprechenden Schalter nicht explizit deaktiviert.

Was bedeutet das praktisch?

• Ein legitimer FortiCloud-Account + ein registriertes Gerät → reicht aus, um über FortiCloud SSO eventuell Admin-Zugriff auf fremde Geräte zu erhalten.
• Die Lücke wurde bereits aktiv missbraucht – Fortinet hat missbräuchliche FortiCloud-Konten gesperrt und die FortiCloud-SSO-Funktion auf Cloud-Seite temporär deaktiviert.
• Bei Wieder-Aktivierung wird FortiCloud SSO gegenüber Geräten mit verwundbaren Versionen blockiert, bis diese gepatcht sind.

Betroffene Produkte & Versionen

Die offizielle Advisory listet eine ganze Reihe von betroffenen Plattformen und Versionen auf, darunter:

Tipp: Nutze den Fortinet Upgrade-Tool-Assistenten, um die passende Fix-Version zu ermitteln.

Empfehlungen & Maßnahmen

1. FortiCloud SSO deaktivieren (sofern noch nicht gepatcht)

Per CLI (FortiOS / FortiProxy):

config system global
  set admin-forticloud-sso-login disable
end

Alternativ über die GUI:
System > Settings > "Allow administrative login using FortiCloud SSO" deaktivieren

2. FortiCloud SSO auf FortiManager / FortiAnalyzer deaktivieren

Per CLI:

config system saml
  set forticloud-sso disable
end

Diese Konfiguration deaktiviert die FortiCloud-SSO-Anmeldung für administrative Zugriffe auf FortiManager bzw. FortiAnalyzer.

3. Admin-Konten und Logs überprüfen

Prüfe bestehende Administratoren und Login-Logs auf Auffälligkeiten, insbesondere:

• Neu angelegte lokale Admin-Accounts
• Unbekannte oder generische Benutzernamen (z. B. audit, backup, remoteadmin)
• Login-Versuche von ungewöhnlichen IP-Adressen oder zu ungewöhnlichen Zeiten

Bei verdächtigen Aktivitäten sollten betroffene Accounts umgehend deaktiviert und Zugangsdaten rotiert werden.

Fazit

Diese Schwachstelle ist ein Reminders-Moment für jede moderne Infrastruktur:

• SSO spart Adminzeit – aber nur, wenn es richtig gehärtet ist.
• Standard-Einstellungen allein schützen nicht vor aktiv ausgenutzten Auth-Bypasses.
• Patchen Sie zeitnah, deaktivieren Sie temporär SSO und überwachen Sie die Admin-Zugänge kontinuierlich.

Fortinet hat reagiert – aber bis Ihree Systeme auf sicheren Versionen laufen, solltest Sie das Risiko so gering wie möglich halten.

Unter https://fortiguard.fortinet.com/psirt/FG-IR-26-060 finden Sie weitere Informationen zu Workarounds und Indikatoren für eine Ausnutzung der Schwachstelle.

Wenn Sie Unterstützung benötigen, wenden Sie sich bitte an service@enthus.de oder nutzen Sie komfortabel unser Ticketsystem unter https://enthus.de/portal/servicetickets