Laufende Attacken gefährden 10.000 Firewalls

Zusammenfassung

Fortinet warnte Ende 2025 vor laufenden Angriffen auf eine seit Juli 2020 gepatchte FortiOS-Lücke (CVE-2020-12812), die laut Shadowserver noch auf rund 10.000 Firewalls ausnutzbar war. Angreifer umgehen damit die Zwei-Faktor-Anmeldung per FortiToken, indem sie im Benutzernamen Groß- und Kleinschreibung vertauschen. Betroffen sind lokale Nutzer, die über LDAP authentifiziert und einer Gruppe zugewiesen sind.

Ideen

• Unterschiedliche Behandlung der Groß- und Kleinschreibung zwischen Systemen öffnet eine Lücke.
• Ein fünf Jahre alter Patch nützt nichts, wenn er nicht eingespielt wird.
• Als Alternative empfahl Fortinet, die Option „username-case-sensitivity“ zu deaktivieren.
• Anfällige Systeme sollten als potenziell kompromittiert gelten.

Einsichten

• Zwei-Faktor-Authentifizierung ist nur so stark wie die Prüfung des Benutzernamens davor.
• Alte, bekannte Lücken bleiben ein Hauptangriffsweg auf Perimeter-Geräte.

Fakten

• Betroffen sind FortiOS bis 6.4.0, 6.2.3 und 6.0.9, korrigiert in 6.4.1, 6.2.4 und 6.0.10.
• Am 4. Januar 2026 waren noch 9658 Systeme verwundbar, davon 48 in Deutschland.

Referenzen

• g: Laufende Attacken gefährden 10.000 Firewalls

Kritik

• Die Meldung sagt nicht, wie die laufenden Angriffe konkret aussehen oder wer dahintersteckt.

Empfehlungen

• Prüfe Firewalls auf veraltete Firmware, auch wenn die Lücke Jahre alt ist.
• Behandle eine lange verwundbare Firewall als kompromittiert und untersuche Konten und Konfiguration.

Originalartikel lesen →

Im Webarchiv suchen

Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.