Wie der Feed arbeitet

Zwei der drei Meldungen betreffen Fortinet-Systeme, die bereits angegriffen werden. Bei CVE-2020-12812 geht es um den VPN-Zugang, über den sich Mitarbeitende von aussen einwählen: Angreifer nutzen diese Lücke aktiv, und sie ist bereits bei Erpressungsangriffen zum Einsatz gekommen, bei denen Firmendaten verschlüsselt und Lösegeld gefordert wird. Die zweite aktiv angegriffene Lücke, CVE-2026-21643, erlaubt es einem Angreifer, ohne Passwort und ohne Anmeldung ins System einzudringen.

Die dritte Meldung, CVE-2026-25089 in der FortiSandbox, ist von den Fachstellen genauso ernst bewertet wie die zweite, gilt bislang aber nicht als aktiv angegriffen. Sie wäre für einen Angreifer ähnlich weitreichend nutzbar, es fehlt nur noch der Nachweis, dass sie tatsächlich ausgenutzt wird.

Die SSL-VPN-Authentifizierung in FortiOS (CVE-2020-12812) wird laut CISA aktiv angegriffen, und der Einsatz in Ransomware-Kampagnen ist für sie belegt. Von den drei Fortinet-Meldungen stehen zwei im KEV-Katalog: neben der VPN-Lücke die SQL-Injection in FortiClientEMS (CVE-2026-21643), die ohne vorherige Anmeldung über das Netz zur Codeausführung führt. Die eine sitzt am Fernzugang, die andere an der zentralen Endpoint-Verwaltung, an der die Clients hängen.

Damit trifft es bei Fortinet zugleich den Weg hinein und die Stelle, von der aus die Endpunkte gesteuert werden, und für beide ist die Ausnutzung nachgewiesen. Die dritte Meldung, eine OS-Command-Injection in FortiSandbox (CVE-2026-25089), ist technisch ähnlich scharf bewertet und ebenfalls ohne Authentifizierung über das Netz erreichbar, gilt bislang aber nicht als angegriffen.

Zwei der drei Fortinet-Meldungen werden laut CISA bereits angegriffen, und sie treffen entgegengesetzte Enden derselben Kette. CVE-2020-12812 umgeht die Authentifizierung am SSL-VPN, also am Eingang von aussen, und ist zusätzlich in Ransomware-Kampagnen belegt. CVE-2026-21643 sitzt dagegen im FortiClientEMS, der zentralen Endpoint-Verwaltung, und lässt dort per SQL-Injection ohne Anmeldung Code über das Netz ausführen.

Zusammengenommen ergeben die beiden einen Weg, den keine der Zeilen einzeln zeigt: Der VPN-Fehler öffnet den Netzzugang, und das EMS verlangt von dort keine Anmeldung mehr, sondern führt fremden Code aus. Wer über die erste Lücke im internen Netz steht, erreicht mit der zweiten die Konsole, die die verwalteten Clients steuert. Der EMS-Eintrag hat mit 67.5 % zudem die höchste Ausnutzungswahrscheinlichkeit der drei.

Die dritte Meldung, CVE-2026-25089 in der FortiSandbox, ist mit demselben Profil bewertet, unauthentifiziert über das Netz und ohne Benutzerinteraktion, steht aber bislang nicht im KEV-Katalog und gilt damit noch nicht als aktiv ausgenutzt.