„`html
Zusammenfassung
CVE-2026-26035 beschreibt eine kritische Authentifizierungslücke in Fortinet FortiWeb Web Application Firewall (WAF). Die Schwachstelle ermöglicht es unauthentifizierten Remote-Angreifern, sich mit beliebigen Anmeldedaten in die Administrationsoberfläche (GUI) sowie die Kommandozeile (CLI) einzuloggen. Mit einem CVSS-Score von 9.8 handelt es sich um eine kritische Gefährdung der Systemintegrität und Vertraulichkeit.
Betroffene Systeme
Folgende Versionen sind vulnerabel:
- FortiWeb 8.0.0 bis 8.0.2
- FortiWeb 7.6.0 bis 7.6.6
- FortiWeb 7.4.0 bis 7.4.11
- FortiWeb 7.2.0 bis 7.2.12
- FortiWeb 7.0.0 bis 7.0.12
Technische Details
Die Vulnerability basiert auf einer Improper Authentication-Schwachstelle (CWE-287) in der Authentifizierungsmechanismus von FortiWeb. Der Angriffsvektor ist netzwerkbasiert (Network), erfordert keine Benutzerinteraktion und keine vorherige Authentifizierung. Der Angreifer kann beliebige Kombinationen von Benutzernamen und Passwörtern verwenden, um Administratorzugriff zu erlangen.
Dies führt zu vollständiger Kompromittierung der WAF-Instanz, Konfigurationsänderungen, Manipulation von Sicherheitsrichtlinien und potenziellem Zugriff auf geschützte Backend-Systeme.
Empfohlene Massnahmen
- Umgehende ĂśberprĂĽfung aller FortiWeb-Instanzen auf betroffene Versionen
- Netzwerkseitige Isolierung von Management-Schnittstellen (GUI/CLI)
- Aktivierung zusätzlicher Logging- und Monitoring-Mechanismen auf Zugriffsebene
- Überprüfung der Audit-Logs auf verdächtige Anmeldeversuche
- Wartung auf sichere Versionen priorisieren
- Temporäre Implementierung von IP-basiertem Access Control
Bewertung
Kritikalität: CRITICAL (CVSS 9.8)
Die fehlende Authentifizierung fĂĽr administrative Funktionen stellt eine maximale Bedrohung dar. Sofortige MitigationsmaĂźnahmen sind erforderlich. Ein Patch ist derzeit nicht verfĂĽgbar, wodurch die Implementierung kompensatorischer Kontrollen zwingend notwendig ist.
„`