FortiSIEM RCE Schwachstelle: Öffentlicher Exploit

Für die FortiSIEM RCE Schwachstelle CVE-2026-106173 gibt es jetzt einen öffentlichen Exploit, und laut Canadian Cyber Centre deuten Open-Source-Berichte Stand 26. Oktober auf Ausnutzung in freier Wildbahn hin. FortiSIEM nutzen viele Teams, um Angriffe zu erkennen; ein kompromittiertes System kostet Verteidiger also Sicht und gibt Angreifern einen Brückenkopf direkt neben den Logs.

Was ist passiert bei der FortiSIEM RCE Schwachstelle

Fortinet hat die Lücke am 13. Oktober im Advisory FG-IR-26-180 gepatcht, Titel: beliebiger Dateischreibzugriff im grpc-Dienst phQueryMaster. Fortinet bewertet sie mit 9,4; andere Datenbanken, darunter NVD, mit 9,8. Das Advisory von Fortinet nennt nur FortiSIEM 7.5.0 als betroffen, Fix ist 7.5.1; FortiSIEM 7.6 und FortiSIEM Cloud sind nicht betroffen. Am 19. Oktober veröffentlichte Horizon3.ai einen funktionierenden Proof of Concept.

Der Fehler steckt in einem Dienst, der auf TCP-Port 27918 lauscht und Verbindungen ohne Client-Zertifikat annimmt. Nach Horizon3s Analyse baut ein Request-Handler einen Dateipfad aus einem vom Angreifer gelieferten Wert, ohne ihn zu prüfen; so lässt sich eine Datei an beliebiger Stelle des Systems schreiben. Wird ein Health-Check-Skript überschrieben, das ein geplanter Job alle 60 Sekunden ausführt, wird aus dem Schreibzugriff Codeausführung. Horizon3 fand keine Anwendungslogs, die den Angriff aufzeichnen. Stand 26. Oktober erwähnt das Advisory von Fortinet (veröffentlicht am 13. Oktober) keine Ausnutzung; das Canadian Cyber Centre ergänzte sein eigenes Advisory am 23. Oktober um die Aussage zur Ausnutzung und nannte keine Quelle.

Warum das wichtig ist

Eine FortiSIEM RCE Schwachstelle wiegt schwerer als die meisten: Ein SIEM sammelt Logs von Firewalls, Servern und Identitätssystemen und speichert oft die Zugangsdaten, die es dafür braucht. Wer es kontrolliert, kann diese Daten lesen und bleibt schwer sichtbar, weil das Werkzeug, das den Einbruch melden würde, selbst kompromittiert ist. Wir haben am 5. Oktober eine Fortinet-Zero-Day-Lücke in FortiMail behandelt; wieder ist ein Sicherheitsprodukt der Einstiegspunkt.

Annahme: Fortinet ist im DACH-Mittelstand weit verbreitet, und auch Managed-Security-Anbieter betreiben FortiSIEM für ihre Kunden. Wenn Ihr SOC ausgelagert ist, fragen Sie nach der eingesetzten Version und ob Port 27918 von außen erreichbar ist.

Was Sie jetzt tun sollten

1. Finden Sie alle FortiSIEM-Knoten (Supervisor, Worker, Collector) und notieren Sie die Version. Fortinet nennt nur 7.5.0 als betroffen; aktualisieren Sie auf 7.5.1 oder neuer.
2. Sperren Sie TCP-Port 27918. Fortinets Workaround ist, den Zugriff einzuschränken; der Port darf nie aus dem Internet erreichbar sein und muss nur zwischen den FortiSIEM-Knoten offen sein.
3. Prüfen Sie auf Kompromittierung. Vergleichen Sie die Änderungszeiten von /opt/charting/redishb.sh und /opt/phoenix/bin/phLicenseTool mit den umliegenden Dateien. Eine kürzlich geänderte Datei, die nicht passt, ist ein Vorfall.
4. Bei einem Fund: Knoten isolieren, ein Abbild der Platte sichern und die Zugangsdaten rotieren, die das SIEM für Logquellen und Integrationen speichert. Prüfen Sie auch die übrigen Produkte aus dem Fortinet-Advisory-Paket vom 13. Oktober: FortiAnalyzer, FortiManager, FortiMail und FortiSandbox.

DIESEC Einschätzung

Monitoring-Werkzeuge gelten oft als vertrauenswürdige Infrastruktur und bleiben außerhalb von Patch-Zyklen und Netzwerksegmentierung. Legen Sie sie in ein Management-Netz, geben Sie ihnen einen Verantwortlichen und eine Patch-Frist, und prüfen Sie, was sie erreichen können.

Nicht sicher, ob Ihre FortiSIEM-Knoten exponiert oder bereits betroffen sind? Kontaktieren Sie DIESEC für eine Expositionsprüfung und Kompromittierungsanalyse.

Quellen: Canadian Cyber Centre AV26-1037 | Cyber Kendra
Veröffentlicht: 2026-10-28 | Kategorie: Schwachstellen & Patches | ~4 Min. Lesezeit