CISA schlägt Alarm: Fortinet-Schwachstelle wird bereits aktiv angegriffen
CVE-2026-35616 – kritischer Authentication Bypass im FortiClient Enterprise Management Server (EMS). CISA listet die Lücke offiziell als aktiv ausgenutzt. Weitere Datenlecks sind absehbar.
CISA schlägt Alarm – KEV-Eintrag bestätigt aktive Angriffe
Die US-Cybersicherheitsbehörde CISA hat eine dringende Warnung für Fortinet-Kunden veröffentlicht. Grund: die kritische Lücke CVE-2026-35616 in FortiClient EMS – sie wird bereits aktiv ausgenutzt.
Die Aufnahme in den Known Exploited Vulnerabilities (KEV)-Katalog bedeutet: Es handelt sich nicht um theoretische Angriffe. Reale Exploits laufen weltweit.
Betroffenes Produkt: FortiClient EMS
Im Mittelpunkt steht der FortiClient Enterprise Management Server (EMS) – die zentrale Verwaltungsplattform für Endgeräte, Richtlinien und Sicherheitskonfigurationen.
CVE-2026-35616 erlaubt eine Authentication Bypass: Angreifer können auf Funktionen zugreifen, ohne sich authentifizieren zu müssen. Im schlimmsten Fall erlangen sie administrative Rechte – und verteilen Schadsoftware automatisiert über die zentrale Endpoint-Verwaltung.
CVE-2026-35616 – Steckbrief
Welche Versionen sind betroffen?
Verwundbar
Gepatcht
Administratoren sollten die Aktualisierung mit höchster Priorität durchführen.
Aktiver Angriff: EKZ Infostealer als Fake-Update
Sicherheitsforscher haben dokumentierte Angriffe beobachtet, bei denen die Lücke genutzt wird, um den EKZ Infostealer zu verteilen – getarnt als legitimes Fortinet-Update.
Was Angreifer mit dem EKZ Infostealer abgreifen
Windows-Anmeldedaten
Browser-Passwörter
Session-Cookies
VPN-Zugangsdaten
Gespeicherte Credentials
Unternehmensdokumente
Cloud-Token (M365/AWS)
Diese Informationen reichen häufig aus, um weitere Systeme zu kompromittieren oder ganze Unternehmensnetzwerke zu übernehmen.
Weitere Fortinet-CVEs im Fokus
FortiClient EMS
FortiSandbox
Mehrere dieser Schwachstellen können im schlimmsten Fall zur vollständigen Übernahme eines Systems führen.
Warum Fortinet-Systeme ein besonders attraktives Ziel sind
Fortinet zählt zu den weltweit größten Anbietern für Sicherheitslösungen – Firewalls, VPN-Gateways, Endpoint-Schutz und zentrale Verwaltungsplattformen. Genau deshalb stehen diese Systeme dauerhaft im Visier professioneller Angreifer.
Die eigentliche Schutzlösung wird dadurch selbst zum Einfallstor.
Warum noch viele Datenlecks folgen werden
Zwischen Veröffentlichung, Update-Bereitstellung und tatsächlicher Installation in Unternehmen liegen oft Tage, Wochen oder Monate. Genau dieses Fenster nutzen Cyberkriminelle aus:
- T+0hCVE wird veröffentlicht – Patch verfügbar
- T+2hAutomatisierte Scans starten weltweit nach verwundbaren EMS-Instanzen
- T+24hErste Exploit-Skripte kursieren in Underground-Foren
- T+72hEKZ Infostealer wird als Fake-Fortinet-Update verteilt
- T+TageCISA nimmt CVE in KEV-Katalog auf
- T+WochenDaten tauchen in Darknet-Leak-Portalen auf
Was Administratoren jetzt tun sollten
- Sicherheitsupdates sofort installieren (7.4.3 / 7.2.6 / 7.0.15)
- Eingesetzte FortiClient-EMS-Version überprüfen
- Administrator-Konten und Zugriffsprotokolle kontrollieren
- Logdateien auf verdächtige Auth-Bypass-Anfragen prüfen
- Passwörter, API-Keys und Zugangsdaten rotieren
- Multifaktor-Authentifizierung erzwingen (MFA)
- Management-Zugänge nicht aus dem Internet erreichbar
- EDR/XDR auf Endpoints aktivieren – IoCs für EKZ Infostealer scannen
Fazit
Die Aufnahme von CVE-2026-35616 in den CISA-KEV-Katalog zeigt: Cyberkriminelle suchen aktiv nach ungepatchten Fortinet-Systemen. Besonders problematisch ist die enorme Zahl potenziell verwundbarer Instanzen weltweit.
Erfahrungsgemäß werden viele Unternehmen die notwendigen Updates erst verzögert einspielen – ein Zeitfenster, das Angreifer konsequent ausnutzen. Wer heute nicht patcht, könnte morgen bereits im Darknet auftauchen.
Unser Kommentar
Der Hacker wartet nicht auf das Wartungsfenster. Er wartet auf den Administrator, der das Update verschiebt. 🔥
Häufige Fragen zu CVE-2026-35616
Patch-Management & EDR/XDR – bevor das Wartungsfenster zur Eintrittspforte wird
Wasacon übernimmt Patch-Management, EDR/XDR-Monitoring und 24/7-MDR für Fortinet-, Firewall- und Endpoint-Infrastruktur. Wir schließen das Zeitfenster zwischen CVE-Veröffentlichung und Angriff – automatisiert.
Mehr zu CVEs, KEV-Listings & Patch-Pflicht
Weitere aktuelle Analysen zu kritischen Sicherheitslücken, Supply-Chain-Risiken und Ransomware-Wellen:
- Roth Industries: Qilin listet deutschen Industriekonzern im Darknet
- Operation Endgame: SocGholish-Takedown – 14.971 WordPress-Seiten bereinigt
- Windchill CVE-2026-4681: Polizei weckt Admins nachts (RCE 9.3)
- RA Vogeler: 1,1 TB Mandantendaten auf Cloak-Leakseite
- Amazon-Tochter One Medical: ShinyHunters · 8,8 TB
- Grafana GitHub-Token-Breach: CI/CD-Supply-Chain-Welle
- NGINX CVE-2026-42945: aktiv ausgenutzt
- Live-Tracker: Cyberangriffe deutsche Unternehmen 2026
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
