Fortinet Zero-Day Schwachstelle: SAML SSO aktiv ausgenutzt

Kritikalität 9.8 – was Krankenhäuser und KRITIS-Betreiber jetzt wissen müssen

Eine kritische Fortinet Zero-Day Schwachstelle in der FortiCloud-SSO-Implementierung wird seit Ende Januar 2026 aktiv ausgenutzt – auch auf vollständig gepatchten Systemen. Für Krankenhäuser und andere Gesundheitseinrichtungen, die Fortinet-Produkte für Netzwerksicherheit, Firewall oder Remote-Access einsetzen, besteht unmittelbarer Handlungsbedarf. Das BSI hat die Schwachstelle mit Kritikalitätsstufe 2 (kritisch) eingestuft. Dieser Artikel fasst die technischen Details zusammen, erklärt die Angriffsvektoren und gibt konkrete Handlungsempfehlungen für ISB und IT-Leitung.

Chronologie: Was ist passiert?

Am 22. Januar 2026 veröffentlichte Fortinet einen Blogbeitrag, der zunächst zwei bereits bekannte Schwachstellen aus dem Dezember 2025 aufgriff: CVE-2025-59718 und CVE-2025-59719 betrafen den FortiCloud SSO Login und waren damals mit Patches adressiert worden.

Die eigentliche Brisanz entstand durch neue Erkenntnisse, die parallel bekannt wurden: Eine zusätzliche, bis dahin unbekannte Schwachstelle in sämtlichen SAML-SSO-Implementierungen von Fortinet war entdeckt worden – und zum Zeitpunkt der Veröffentlichung noch nicht durch einen Patch geschlossen. Gleichzeitig tauchten im Internet erste Berichte über erfolgreiche Kompromittierungen auf.

Am 27. Januar 2026 veröffentlichte Fortinet das offizielle Advisory zur Schwachstelle CVE-2026-24858 mit einem CVSS-3.1-Score von 9.8 (kritisch). Das BSI folgte mit einer eigenen Sicherheitsmitteilung (Version 1.2, Stand 29. Januar 2026).

Ein wichtiges Detail aus dem aktualisierten Fortinet-Blogbeitrag: FortiAuthenticator sowie SAML-IdPs von Drittanbietern sind von CVE-2026-24858 nicht betroffen. Die Schwachstelle ist spezifisch auf die FortiCloud-SSO-Implementierung beschränkt.

Technische Details: Wie funktioniert der Angriff?

Die Schwachstelle CVE-2026-24858

Der CVSS-Score von 9.8 platziert CVE-2026-24858 in der höchsten Risikokategorie. Die technische Beschreibung laut Fortinet-Advisory:

Ein Angreifer, der über ein legitimes FortiCloud-Konto verfügt und mindestens ein registriertes Gerät in diesem Konto besitzt, kann sich bei anderen Fortinet-Geräten authentifizieren, die anderen FortiCloud-Konten zugeordnet sind – sofern auf diesen Geräten die FortiCloud-SSO-Authentifizierung aktiviert ist.

Im Klartext: Die Isolierung zwischen Mandanten (FortiCloud-Konten/Tenants) ist gebrochen. Ein Angreifer benötigt kein Wissen über das Zielkonto, keine gestohlenen Credentials des Opfers und muss keine zusätzlichen Exploits ausführen. Das fehlerhafte Vertrauen in den SAML-Assertion-Prozess ermöglicht die laterale Bewegung zwischen Kundenkonta.

Warum gepatchte Systeme betroffen sind

Dies ist der entscheidende Punkt für die Lagebeurteilung in Ihrer Einrichtung: Systeme mit aktuellem Patchstand waren ebenfalls erfolgreich kompromittiert worden – allerdings ausschließlich dann, wenn der Management-Zugang über FortiCloud SSO exponiert war. Es handelt sich also nicht um eine klassische ungepatchte Schwachstelle, sondern um einen Designfehler in der Authentifizierungslogik der FortiCloud-SSO-Integration.

Die Implikation ist ernst: Patching allein schützt hier nicht. Der primäre Schutzvektor ist die Deaktivierung bzw. Netzwerktrennung des betroffenen Angriffsvektors.

Angriffsvoraussetzungen im Überblick

Voraussetzung Details
Angreiferkonto Legitimes FortiCloud-Konto (nicht notwendigerweise Admin)
Registriertes Gerät Mindestens ein Gerät im Angreiferkonto
Zielkonfiguration FortiCloud-SSO auf Zielgerät aktiviert
Netzwerkexposition Management-Interface über FortiCloud SSO erreichbar
Patchstand Ziel Irrelevant – auch gepatchte Systeme betroffen

Relevanz für Krankenhäuser und KRITIS-Betreiber

Fortinet-Produkte sind im Gesundheitswesen weit verbreitet: FortiGate-Firewalls, FortiManager, FortiAnalyzer und FortiClient werden in vielen Kliniken für Perimeterschutz, Remote-Access (VPN) und zentrales Security-Management eingesetzt. Die Frage, ob Ihre Umgebung exponiert ist, hängt von einer konkreten Konfigurationsprüfung ab.

Warum ist die Fortinet Zero-Day Schwachstelle für Kliniken besonders kritisch?

1. Management-Zugriff bedeutet vollständige Kontrolle Ein erfolgreicher Angriff über den Management-Zugang ermöglicht die Rekonfiguration von Firewalls, die Deaktivierung von Sicherheitsregeln und die Vorbereitung weiterer Angriffe auf das interne Netz – einschließlich medizinischer Gerätenetzwerke und klinischer Informationssysteme.

2. Ransomware-Eintrittspunkt Kompromittierte Netzwerk-Infrastruktur ist häufig der erste Schritt vor einer Ransomware-Infektion. Für Krankenhäuser bedeutet ein erfolgreicher Ransomware-Angriff im schlimmsten Fall die Einschränkung der Patientenversorgung – ein Szenario, das in Deutschland zuletzt mehrfach eingetreten ist.

3. Meldepflichten nach NIS2UmsuCG und §32 BSIG Krankenhäuser, die als wichtige Einrichtungen oder kritische Anlagen nach dem NIS2UmsuCG eingestuft sind, unterliegen Meldepflichten bei erheblichen Sicherheitsvorfällen gegenüber dem BSI. Ein ausgenutzte Schwachstelle dieser Kritikalität kann meldepflichtig sein – Fristen beachten (Erstmeldung innerhalb von 24 Stunden).

4. §391 SGB V und Nachweispflichten Krankenhäuser mit mehr als 30.000 vollstationären Fällen jährlich sind seit Januar 2022 nach §391 SGB V verpflichtet, angemessene technische und organisatorische Maßnahmen zur IT-Sicherheit nachzuweisen. Eine bekannte, aktiv ausgenutzte Schwachstelle ohne dokumentierte Reaktion stellt ein erhebliches Compliance-Risiko dar.

Sofortmaßnahmen: Was jetzt zu tun ist

Schritt 1: Betroffenheit prüfen (sofort)

Klären Sie innerhalb der nächsten Stunden:

  • Welche Fortinet-Produkte sind in Ihrer Umgebung im Einsatz? (FortiGate, FortiManager, FortiAnalyzer, FortiClient EMS, FortiProxy, weitere)
  • Ist FortiCloud SSO auf einem oder mehreren dieser Geräte aktiviert?
  • Ist der Management-Zugang (GUI, API) über FortiCloud SSO aus dem Internet oder aus nicht-vertrauenswürdigen Netzsegmenten erreichbar?

Falls Sie auf alle drei Fragen mit „Ja" antworten können: Sie sind potenziell exponiert.

Schritt 2: Sofortige Deaktivierung von FortiCloud SSO

Deaktivieren Sie FortiCloud SSO auf allen exponierten Geräten, bis ein offizieller Patch verfügbar und eingespielt ist. Stellen Sie sicher, dass alternative Administrationszugänge (lokale Accounts mit MFA) funktionsfähig sind, bevor Sie SSO deaktivieren.

# FortiGate CLI - FortiCloud SSO deaktivieren
config system fortiguard
    set auto-firmware-upgrade disable
end
# Management-Zugang prüfen und einschränken
config system interface
    edit <mgmt-interface>
        set allowaccess https ssh
    next
end

Hinweis: Die genauen CLI-Befehle zur Deaktivierung von FortiCloud SSO entnehmen Sie bitte dem aktuellen Fortinet-Advisory und der produktspezifischen Dokumentation, da diese je nach Produktlinie variieren.

Schritt 3: Management-Zugang netzwerkseitig isolieren

Unabhängig von CVE-2026-24858 gilt als Best Practice: Management-Interfaces von Netzwerk-Komponenten gehören nicht ins Internet. Falls dies in Ihrer Umgebung noch nicht vollständig umgesetzt ist, priorisieren Sie jetzt:

  • Management-Interfaces in ein dediziertes, getrenntes Management-VLAN verschieben
  • Zugriff nur aus definierten Admin-Workstations/Jump-Hosts erlauben
  • Firewall-Regeln: kein direkter Internetzugang auf Management-Ports (443, 8080, 22)

Schritt 4: Indicators of Compromise (IoC) prüfen

Analysieren Sie Ihre Fortinet-Logs auf Anzeichen einer Kompromittierung:

  • Unbekannte oder unerwartete Login-Ereignisse via FortiCloud SSO
  • Konfigurationsänderungen ohne dokumentierten Change-Request
  • Neue Administrator-Accounts oder veränderte Berechtigungen
  • Ungewöhnliche ausgehende Verbindungen von Management-Systemen

Das BSI empfiehlt, bei Verdacht auf Kompromittierung umgehend Kontakt mit dem BSI-Lagezentrum aufzunehmen (Tel: 0228 99 9582-444).

Schritt 5: Patch einspielen sobald verfügbar

Verfolgen Sie das Fortinet PSIRT-Portal (https://www.fortiguard.com/psirt) aktiv auf ein Patch-Release für CVE-2026-24858. Sobald ein Patch verfügbar ist:

  • Testen Sie den Patch zunächst in einer nicht-produktiven Umgebung
  • Planen Sie ein Wartungsfenster mit minimaler klinischer Auswirkung
  • Dokumentieren Sie den Patch-Vorgang für Ihre ISMS-Nachweisdokumentation

Einordnung in den BSI-Grundschutz und B3S-Kontext

Das BSI-Grundschutz-Kompendium adressiert die relevanten Sicherheitsanforderungen in mehreren Bausteinen:

  • NET.3.2 Firewall: Anforderung NET.3.2.A1 verlangt eine restriktive Regelkonfiguration; A14 explizit die Absicherung des Administrationszugangs
  • OPS.1.1.3 Patch- und Änderungsmanagement: Sicherheits-Patches sind zeitnah einzuspielen; bei Zero-Days ohne verfügbaren Patch sind kompensatorische Maßnahmen zu dokumentieren
  • NET.1.1 Netzarchitektur und -design: Trennung von Administrations- und Produktivnetzen

Im Kontext des B3S Krankenhaus (Branchenspezifischer Sicherheitsstandard) ist die Absicherung von Netzübergängen und die Segmentierung zwischen klinischen und administrativen Netzen eine Kernanforderung. Eine exponierte Management-Schnittstelle widerspricht den B3S-Anforderungen an die Netzwerksicherheit direkt.

Checkliste: Fortinet CVE-2026-24858

Verwenden Sie diese Checkliste zur strukturierten Abarbeitung:

  • [ ] Inventar aller Fortinet-Produkte in der Umgebung erstellt
  • [ ] FortiCloud-SSO-Status auf allen Geräten geprüft
  • [ ] Management-Interfaces auf Internetzugang geprüft
  • [ ] FortiCloud SSO auf exponierten Geräten deaktiviert
  • [ ] Alternative Administrationszugänge (lokale Accounts + MFA) verifiziert
  • [ ] Management-Interfaces netzwerkseitig isoliert (Management-VLAN, Jump-Host)
  • [ ] Log-Analyse auf IoC durchgeführt und dokumentiert
  • [ ] Ergebnis der Betroffenheitsanalyse im ISMS dokumentiert
  • [ ] Meldepflicht nach NIS2UmsuCG/§32 BSIG geprüft und ggf. eingeleitet
  • [ ] Patch-Monitoring auf Fortinet PSIRT eingerichtet
  • [ ] Patch-Einspielung nach Verfügbarkeit geplant und dokumentiert

Fazit

Die Fortinet Zero-Day Schwachstelle CVE-2026-24858 ist aus mehreren Gründen ungewöhnlich ernst zu nehmen: Ein CVSS-Score von 9.8, aktive Ausnutzung in freier Wildbahn, Wirksamkeit trotz aktuellem Patchstand und ein Angriffsvektor über legitime Konten machen die klassischen Schutzreflexe – "wir patchen regelmäßig" – wirkungslos. Für Krankenhäuser kommt hinzu, dass ein erfolgreicher Angriff auf die Netzwerkinfrastruktur direkte Auswirkungen auf die Patientenversorgung haben kann.

Die gute Nachricht: Die Schutzmaßnahme ist klar und unmittelbar umsetzbar. Wer FortiCloud SSO nicht benötigt – und das sollte in den meisten Krankenhaus-Umgebungen mit lokal verwalteten FortiGates der Fall sein – kann den Angriffsvektor durch Deaktivierung vollständig eliminieren.

Nutzen Sie diesen Vorfall auch als Anlass, Ihr Vulnerability-Management-Prozess zu überprüfen: Wie schnell erfahren Sie von kritischen BSI-Sicherheitsmitteilungen? Wie ist der Eskalationsweg zu IT-Leitung und ISB definiert? Für eine strukturierte Bewertung Ihres aktuellen Sicherheitsniveaus empfehlen wir das ISMShield Assessment.

**Rechtlicher

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich