Fortinet patcht kritisch – und schweigt drei Wochen zu den Details

Was Fortinet tatsächlich gemacht hat

Fortinet nennt es eine „koordinierte Reihe von Sicherheitsupdates“. Sie stammt nach eigenen Angaben aus einem KI-gestützten Testprogramm, mit dem Codepfade, Protokollbehandlung und Konfigurationslogik automatisiert durchsucht wurden – Verfahren, die klassisches Fuzzing und manuelle Prüfung nach Herstellerangaben nicht in dieser Tiefe erreichen.

Die korrigierten Versionen sind FortiOS 8.0.2, 7.6.8, 7.4.13 und 7.2.14 sowie die entsprechenden Stände von FortiManager, FortiAnalyzer, FortiMail und FortiAuthenticator. Fortinet fordert ausdrücklich, internetorientierte Geräte zuerst zu aktualisieren. Die öffentlichen Advisories kommen am 10. November. Angriffe auf die Lücken waren zum Zeitpunkt der Ankündigung nicht bekannt.

Für die Zeit bis zum Update nennt der Hersteller Hausmittel: Verwaltungsschnittstellen wie HTTPS und SSH auf vertrauenswürdige Adressen beschränken, die FortiManager-Administration nicht aus dem Internet erreichbar lassen, starke und einzigartige Zugangsdaten verwenden und Mehr-Faktor-Authentifizierung für alle Administratorkonten erzwingen. Nach Herstellerangaben senkt das das Risiko, ersetzt aber kein Update.

Meine Einordnung

Für den Betreiber ist das eine unangenehme Lage: Man soll dringend patchen, darf aber nicht wissen, warum. Ohne CVSS-Wert lässt sich die eigene Exposition nicht bewerten. Ohne technische Beschreibung lässt sich nicht priorisieren, welches Gerät das schwerere Risiko trägt – außer über die alte Regel, dass alles, was erreichbar ist, auch erreichbar bleibt. Und ohne Angriffsmuster lässt sich nicht erkennen, ob man bereits betroffen war. Fortinet begründet das Vorgehen damit, dass Kunden Zeit zum Aktualisieren bekommen sollen, bevor Details fallen. Das ist nachvollziehbar: Wer den Patch mit dem Fehler vergleicht, baut den Angriff in Stunden nach. Trotzdem bleibt es ein Patchen auf Vertrauen.

In meinen Projekten sehe ich genau an dieser Stelle das Problem. Ein mittelständischer Betrieb hat selten jemanden, der selbst entscheiden kann, ob eine FortiGate-Firewall jetzt wirklich in die Wartung muss – diese Entscheidung liegt oft beim IT-Dienstleister. „Aktualisiert“ ist dort schnell eine Absichtserklärung. Die drei Wochen ohne Details sind deshalb kein Grund, nichts zu tun, sondern ein Grund, auf einem Nachweis zu bestehen. Und eine zweite Beobachtung: KI in der Schwachstellensuche wird als Fortschritt verkauft, verkürzt aber zugleich die Zeit zwischen Offenlegung und Ausnutzung. Fortinet schreibt das selbst. Für Betriebe im Umland von München heißt das: nicht auf die Erklärung am 10. November warten, sondern jetzt handeln und die Erklärung danach zur Kontrolle nutzen. Die Frage ist am Ende nicht, ob man dem Hersteller vertraut, sondern ob man im Zweifel belegen kann, dass man die eigenen Geräte im Blick hatte.

Was Sie jetzt konkret tun können

1. Bestand klären. Welche Fortinet-Geräte laufen überhaupt – FortiGate/FortiOS, FortiManager, FortiAnalyzer, FortiMail, FortiAuthenticator? Welche Version, welche davon aus dem Internet erreichbar? Diese Liste ist der Anfang jeder Priorisierung.

2. Exposition begrenzen. Falls noch nicht geschehen: Verwaltungsschnittstellen auf vertrauenswürdige Adressen beschränken, die FortiManager-Administration nicht aus dem Internet erreichbar lassen, Mehr-Faktor-Authentifizierung für alle Administratorkonten erzwingen. Das ersetzt kein Update, hilft aber sofort.

3. Updates einspielen, internetorientierte Geräte zuerst. Vor dem Update die Konfiguration sichern, ein Wartungsfenster nutzen und nach dem Neustart die Versionsnummer ablesen statt sie vorauszusetzen.

4. Nachweis einfordern. Lassen Sie sich schriftlich bestätigen: Produkt, Zielversion, Datum. Eine kurze Mail genügt – sie ist später Ihre Grundlage.

5. Am 10. November nachkontrollieren. Wenn die Details kommen, lässt sich endlich einordnen, ob die eigene Exposition zur Lücke passte. Prüfen Sie zusätzlich Logs auf ungewöhnlichen Administrationszugriff in dieser Zeit.