FortiBleed und drei FortiSandbox CVEs: Die Rechnung für Fortinet kommt jetzt

Die Frage, die jeder Head of Platform mit Fortinet am Perimeter diese Woche seinem CFO und Justiziar stellen sollte, lautet nicht, ob gepatcht werden muss, sondern ob die nächste Dreijahresverlängerung noch rentabel ist. Drei FortiSandbox CVEs werden aktiv in freier Wildbahn ausgenutzt, und eine parallel laufende Kampagne namens FortiBleed hat mehr als 30.000 Firewalls in 194 Ländern kompromittiert. Die Wirtschaftlichkeit eines Single-Vendor-Perimeters hat sich gerade verschoben – und die meisten Sicherheitsbudgets haben das noch nicht eingepreist.

Das ist keine reine Schwachstellengeschichte mehr. Es ist eine Geschichte über Vendor-Konzentration, die als solche verkleidet ist.

Was passiert ist

Am 16. Juni 2026 veröffentlichte die Threat-Intelligence-Firma Defused Cyber auf X, dass sie innerhalb der vorangegangenen 24 Stunden aktive Ausnutzung von drei FortiSandbox-Schwachstellen beobachtet hatte. Wie The Hacker News berichtete, tragen alle drei CVEs CVSS-9.1-Wertungen: CVE-2026-39813, ein Path Traversal in der FortiSandbox JRPC API, der einem nicht authentifizierten Angreifer erlaubt, die Authentifizierung über manipulierte HTTP-Anfragen zu umgehen; CVE-2026-39808, eine unauthentifizierte OS-Command-Injection über HTTP; und CVE-2026-25089, eine dritte OS-Command-Injection, die FortiSandbox, FortiSandbox Cloud und die FortiSandbox PaaS WEB UI betrifft.

Fortinet hat die ersten beiden im April 2026 gepatcht. Die dritte wurde erst in der Woche vor der Veröffentlichung behoben. Defused Cyber bewertete, dass der Exploit für CVE-2026-25089 Anzeichen zeigt, mit einem KI-Modell entwickelt worden zu sein, und dass der Exploit fehlerhaft ist. Ein funktionierender öffentlicher Exploit wurde nicht bekannt gegeben.

Hinter dieser Offenlegung steckt eine weitaus größere Geschichte. SOCRadar berichtete, dass mutmaßlich russischsprachige Bedrohungsakteure nach der Identifizierung eines mit der Aktivität verbundenen Betriebsservers mehr als 30.000 Fortinet-Firewalls in 194 Ländern kompromittiert haben. Die Datenbank der Angreifer enthält laut SOCRadar „Anmeldedaten für mehr als 30.791 Geräte, die Unternehmen und Regierungsorganisationen in 194 Ländern gehören." Das waren keine Vermutungen. Es waren verifizierte, funktionierende Zugangsdaten, die rund um die Uhr von automatisierten Tools getestet wurden.

Hudson Rock legte am 17. Juni mit präziseren Zahlen nach: Die Kampagne, FortiBleed genannt, traf 73.932 eindeutige Firewall-URLs und 21.632 eindeutige betroffene Domains. Volodymyr „Bob" Diachenko, der die Aktivität zuerst auf LinkedIn gemeldet hatte, bezifferte die Operation auf 1,16 Milliarden Anmeldeversuche gegen 320.777 FortiGate-Ziele und 2,1 Milliarden Versuche gegen 163.650 MS-SQL-Server. Zu den kompromittierten Geräten gehören Banken, Telekommunikationsbetreiber, Krankenhäuser, Universitäten, Regierungsbehörden und Energieunternehmen. Allein Indien macht 60 % der internetexponierten Fortinet-Installationen im Regierungssektor aus.

Technische Analyse

Die drei FortiSandbox CVEs haben ein gemeinsames Muster. Alle sind unauthentifiziert, alle sind über HTTP erreichbar, und alle befinden sich auf einem Gerät, das innerhalb der Inspection-Pipeline konstruktionsbedingt tief vertrauenswürdig ist. Ein Sandbox-Appliance empfängt verdächtige Dateien und URLs aus der gesamten Umgebung, was bedeutet, dass es typischerweise in Mail-Flow, Web-Proxys, EDR und SIEM eingebunden ist. Wer die Sandbox kompromittiert, befindet sich nicht am Rand des Netzwerks, sondern im Zentrum seiner Erkennungslogik.

CVE-2026-39813 ist ein Path Traversal in der JRPC API, was bedeutet, dass die Authentifizierung umgangen werden kann, bevor überhaupt Geschäftslogik ausgeführt wird. Kombiniert man das mit den beiden OS-Command-Injection-Bugs (CVE-2026-39808 und CVE-2026-25089), kollabiert die Kill Chain zu einer einzigen HTTP-Anfrage: Authentifizierung umgehen, Befehl injizieren, als Appliance ausführen. Es ist kein Lateral-Movement-Schritt erforderlich, um Wirkung zu erzielen. Die entsprechenden Einträge in der MITRE CVE-Datenbank können zur Verifikation des Musters herangezogen werden, aber die operative Realität ist eindeutig: Das sind genau die Bugs, die innerhalb von Tagen, nicht Wochen, in den CISA KEV-Katalog aufgenommen werden.

FortiBleed ist ein anderes Kaliber. Es ist kein einzelner Zero-Day, sondern eine Credential-Harvesting-Maschine. SOCRadar beschreibt einen zweistufigen Ansatz: Zunächst werden zuvor geleakte Fortinet-Passwörter gegen internetexponierte Geräte ausprobiert, weil viele Organisationen nach früheren Breaches ihre Zugangsdaten nie rotiert haben. Sobald man dann auf einem Gerät ist, wird der Netzwerkverkehr passiv überwacht, um weitere Zugangsdaten abzugreifen, die durchlaufen. Die kompromittierten Firewalls werden zu Abhörposten, die neue Zugangsdaten in die Rotation zurückspeisen. Hudson Rock stellt fest, dass die Angreifer Hashes auf einem 45-GPU-Cluster via Hashtopolis cracken und von abgefangener SSL-VPN-Authentifizierung in interne Active-Directory-Umgebungen pivotieren.

Das beunruhigende Detail in den Worten von Hudson Rock: „Ein besonders alarmierendes Detail aus diesem Datensatz ist das hohe Volumen extrem komplexer Passwörter, die erfolgreich kompromittiert wurden." Ihre Schlussfolgerung ist unmissverständlich: „Komplexität wird vollständig neutralisiert, wenn Passwörter im Klartext wiederhergestellt werden." Wenn Ihre Passwortrichtlinie die letzte Verteidigungslinie am VPN war, ist diese Linie gelöscht worden.

Wer betroffen ist

Drei Gruppen sollten dieses Quartal unbequeme interne Gespräche führen.

Die erste sind alle regulierten Betreiber, deren Fortinet-Footprint innerhalb eines lizenzierten Perimeters liegt. Lizenzierte iGaming-Plattformen, Zahlungsinstitute und Kryptobörsen tendieren dazu, auf einen einzigen Firewall-Anbieter zu standardisieren, weil Audit-Nachweise einfacher zu erstellen sind. Diese Standardisierung ist jetzt ein Haftungsrisiko. Ein kompromittiertes SSL-VPN-Appliance, das Zugangsdaten in Active Directory einspeist, ist genau das Breach-Muster, das DSGVO-Artikel-33-Meldungen, FCA-SUP-15-Berichte und Meldungen bei Gaming-Regulatoren auslöst. Die Frage für den Justiziar lautet nicht „sind wir gepatcht", sondern „wie groß ist unser Offenlegungsrisiko, wenn unsere Zugangsdaten gerade in der Datenbank eines russischsprachigen Betreibers liegen."

Die zweite Gruppe sind Fintechs und Kryptofirmen mit Konzentration in Indien, den USA oder Singapur. Diese drei Länder befinden sich unter den Top Ten der Betroffenen, und Indien ist strukturell besonders exponiert aufgrund seiner hohen Installationsdichte im Regierungssektor. Für ein Series-B-Fintech mit einem Entwicklungshub in Bengaluru hinter einem Fortinet-VPN ist die realistische Frage, ob der Corporate-Identity-Perimeter bereits gebrochen ist – nicht ob er es sein könnte.

Die dritte Gruppe sind kleinere Managed Security Provider, die Fortinet als ihren Standard-Stack weiterverkaufen. Ihr Margin-Modell basiert auf Volumenrabatten und gemeinsamen Playbooks. Wenn das zugrunde liegende Appliance in eine Credential-Harvesting-Kampagne dieser Größenordnung verwickelt ist, trifft der Kundendruck auf den MSSP, nicht auf Fortinet. Verlängerungsgespräche werden angespannt werden, und mindestens ein mittelgroßer MSSP wird dies als Anlass nutzen, seinen Stack in Richtung Palo Alto, Cisco oder einer Cloud-nativen ZTNA-Lösung zu diversifizieren. Der Arbeitsmarkt folgt: Erfahrene Fortinet-Ingenieure, die auch Zscaler oder Cloudflare Access beherrschen, sind gerade deutlich wertvoller geworden.

Der CFO jedes dieser Unternehmen sollte diese Woche den VP of Engineering fragen: Was sind die realistischen Wechselkosten, in Euro und Ingenieur-Monaten, um Fortinet auf eine Zone zu reduzieren statt auf den gesamten Perimeter? Diese Zahl war vor sechs Monaten noch theoretisch. Sie ist jetzt ein Input für den nächsten Budgetzyklus.

Playbook für Sicherheitsteams

Patchen Sie die drei FortiSandbox CVEs sofort, falls noch nicht geschehen. CVE-2026-39813 und CVE-2026-39808 sind seit April 2026 verfügbar, sodass jede ungepatchte Instanz jetzt seit über sechzig Tagen aktiver Ausnutzung ausgesetzt ist. CVE-2026-25089 wurde in der Woche vom 9. Juni gepatcht. Behandeln Sie alle drei als KEV-äquivalent, unabhängig davon, ob sie bereits im CISA-Katalog erscheinen.

Über das Patchen hinaus sind diese Woche drei Maßnahmen entscheidend. Erstens: Rotieren Sie jede Zugangsdaten, die jemals durch ein FortiGate SSL-VPN geleitet wurden. Nicht nur Admin-Zugangsdaten – alle Zugangsdaten. Das FortiBleed-Modell geht davon aus, dass das Gerät ab dem Moment seiner Kompromittierung zum Abhörposten wurde, sodass historischer Datenverkehr als verdächtig gilt. Zweitens: Suchen Sie nach dem von Hudson Rock beschriebenen Post-Exploitation-Muster: SSL-VPN-Authentifizierungsabfang gefolgt von Active-Directory-Enumeration. Achten Sie auf anomale Kerberos- und LDAP-Abfragen aus IP-Bereichen von VPN-Konzentratoren. Drittens: Prüfen Sie Ihre Passwortkomplexitätsrichtlinie ehrlich. Wenn Ihre Sicherheitsstrategie auf Entropie setzte, ist diese Strategie obsolet. Phishing-resistente MFA am VPN-Edge ist keine Option mehr.

Ein operativer Hinweis zum KI-generierten Exploit. Defused Cybersʼ Beobachtung, dass der Exploit für CVE-2026-25089 KI-unterstützt und fehlerhaft war, ist eine Vorschau, keine Anomalie. In den nächsten zwölf Monaten wird es einen stetigen Strom halbfertiger KI-generierter Exploits geben, die innerhalb von Tagen nach der Patch-Veröffentlichung auf Produktionsziele treffen. Detection Engineering sollte kürzere Patch-to-Exploit-Fenster als Standard annehmen, nicht als Ausnahme.

Wichtigste Erkenntnisse

• Drei FortiSandbox CVEs (CVE-2026-39813, CVE-2026-39808, CVE-2026-25089), alle CVSS 9.1, werden laut Defused Cyber aktiv ausgenutzt – zwei wurden im April 2026 gepatcht, einer erst in der Woche vom 9. Juni.
• FortiBleed hat laut SOCRadar mehr als 30.000 Fortinet-Firewalls in 194 Ländern kompromittiert; Hudson Rock zählt 73.932 eindeutige Firewall-URLs und 21.632 betroffene Domains.
• Die Kampagne verarbeitete 1,16 Milliarden Anmeldeversuche gegen 320.777 FortiGate-Ziele, crackte Hashes auf einem 45-GPU-Hashtopolis-Cluster und pivotierte via SSL-VPN-Abfang in Active Directory.
• Passwortkomplexität ist keine Verteidigung, wenn Zugangsdaten im Klartext von kompromittierten Appliances wiederhergestellt werden; phishing-resistente MFA am VPN-Edge ist jetzt das Mindestmaß, nicht die Kür.
• Teams, die ihren Perimeter-Stack für 2027 evaluieren, sollten jetzt fragen: Wie sehen die Verlängerungskosten aus, wenn Fortinet eine Zone unter dreien ist statt der Standard überall?