Fortinet Zero-Day aktiv ausgenutzt – CVE-2026-35616 im Fokus
Kritische SSL-VPN-Schwachstelle in FortiClient EMS wird bereits angegriffen – CVSS 9.1
Kritische Schwachstelle in FortiClient EMS
Die aktuell ausgenutzte Sicherheitslücke CVE-2026-35616 betrifft vor allem SSL-VPN-Funktionen in Fortinet-Systemen und wird laut aktuellen Analysen bereits aktiv in freier Wildbahn (in-the-wild) ausgenutzt. Fortinet hat einen Hotfix veröffentlicht – doch viele Systeme sind noch ungepatcht.
FortiClient EMS
Endpoint Management Server
FortiOS
Firewall Betriebssystem
FortiProxy
Proxy-Appliance
FortiGate
SSL-VPN Gateway
👉 Kritisch sind alle Systeme mit aktivem SSL-VPN Zugang aus dem Internet – ein erfolgreicher Angriff erfordert keinerlei Authentifizierung.
Technischer Hintergrund
Bei CVE-2026-35616 handelt es sich um eine Out-of-Bounds Write Schwachstelle mit unzureichender Zugriffskontrolle auf API-Ebene:
Remote Code Execution möglich
Angreifer können gezielt manipulierte Requests senden, um Speicherbereiche zu überschreiben und eigenen Code auszuführen.
Kein gültiger Login erforderlich (Pre-Auth)
Die Schwachstelle kann ohne jegliche Authentifizierung ausgenutzt werden – ein besonders kritischer Angriffsvektor.
Angriffe über HTTPS / VPN-Endpunkte
Exponierte SSL-VPN-Endpunkte und Management-APIs sind direkte Angriffsflächen.
💡 Besonders gefährlich für öffentlich erreichbare Systeme: Angreifer können automatisiert nach offenen Fortinet-Endpunkten scannen und die Schwachstelle innerhalb von Sekunden ausnutzen.
Warum CVE-2026-35616 so gefährlich ist
CVSS 9.1
Kritisch
Pre-Auth
Kein Login nötig
Exploits
Bereits im Umlauf
Automatisiert
Angriffe beobachtet
In-the-Wild
Aktive Ausnutzung
➡️ Diese Kombination macht die Lücke zu einer der gefährlichsten Fortinet-Schwachstellen der letzten Jahre.
Aktuelle Angriffsszenarien – Kill Chain
Typische Nutzung durch Angreifer in 6 Schritten:
Scan nach offenen Fortinet SSL-VPN Ports
Automatisierte Scans nach öffentlich erreichbaren Fortinet-Systemen mit aktivem SSL-VPN.
Exploit von CVE-2026-35616
Gezielte Out-of-Bounds-Write-Angriffe über manipulierte HTTPS-Requests an die API.
Installation von Webshells
Nach erfolgreicher Code-Ausführung werden Webshells als persistente Backdoors platziert.
Persistenz über Backdoors
Angreifer sichern ihren Zugang durch versteckte Dienste und modifizierte Konfigurationen.
Laterale Bewegung im Netzwerk
Vom kompromittierten Gateway aus werden interne Systeme und Active Directory angegriffen.
Datenabfluss oder Ransomware
Endziel: Exfiltration sensibler Daten, Verschlüsselung von Systemen oder beides.
Was du jetzt tun musst
Sofortmaßnahmen
Fortinet Updates sofort installieren
Hotfix für FortiClient EMS umgehend einspielen – keine Verzögerung.
SSL-VPN prüfen oder temporär deaktivieren
Alle öffentlich erreichbaren SSL-VPN-Endpunkte überprüfen und bei Bedarf vorübergehend deaktivieren.
Internet-Zugriff einschränken
Management-Oberflächen und API-Endpunkte nur aus vertrauenswürdigen Netzwerken erreichbar machen.
Logs auf Kompromittierung prüfen
Unbekannte Admin-Logins, auffällige VPN-Sessions und Konfigurationsänderungen sofort analysieren.
Verbindungen zu externen IPs untersuchen
Ausgehende Verbindungen zu unbekannten IP-Adressen identifizieren und blockieren.
Langfristige Absicherung
MFA aktivieren
Multi-Faktor-Authentifizierung für alle VPN- und Management-Zugänge erzwingen.
IP-Whitelisting
VPN-Zugang nur für bekannte und verifizierte IP-Adressen freigeben.
Zero Trust implementieren
Jeder Zugriff muss verifiziert werden – keine impliziten Vertrauensannahmen.
Prüfung auf Kompromittierung
Wenn deine Firewall betroffen ist und nicht gepatcht wurde, musst du von einer möglichen Kompromittierung ausgehen. Achte auf folgende Anzeichen:
Unbekannte Admin-Logins
Auffällige VPN Sessions
Änderungen an Konfigurationen
Verbindungen zu externen IPs
🚨 Das ist kein „vielleicht"-Szenario mehr. Wer nicht gepatcht hat, muss von einem erfolgreichen Angriff ausgehen.
Fazit
CVE-2026-35616 ist aktuell eine der kritischsten aktiv ausgenutzten Schwachstellen im Bereich Netzwerk-Security. Unternehmen, die nicht sofort reagieren, riskieren:
Vollständiger Netzwerkzugriff für Angreifer
Datenverlust & Exfiltration
Produktionsausfälle
Massive finanzielle Schäden
CVSS 9.1 mit aktiver Ausnutzung – das ist kein Warnsignal, sondern ein Alarmsignal. Sofort prüfen lassen. Kein Zögern.
Wasacon Empfehlung
Sofort handeln: Penetrationstest deiner Infrastruktur, Fortinet Hardening und Incident Response im Ernstfall. Wir unterstützen Unternehmen im gesamten Kreis Heinsberg bei der Absicherung gegen CVE-2026-35616 und vergleichbare Zero-Day-Schwachstellen.
Ist deine Fortinet-Infrastruktur sicher?
Lass uns gemeinsam prüfen, ob deine Systeme gegen CVE-2026-35616 geschützt sind – bevor es Angreifer tun.
Antwort in der Regel innerhalb von 24 Stunden
Wasacon in deiner Region
Wasacon unterstützt Unternehmen in Heinsberg (52525), Erkelenz, Hückelhoven (41836), Wegberg, Wassenberg, Geilenkirchen, Aachen, Mönchengladbach, Jülich, Düren Rheydt (41236), Linnich (52441) und Krefeld bei der Absicherung von Fortinet-Infrastruktur und VPN-Systemen. Ob Schwachstellen-Scans, Fortinet Hardening oder Incident Response – wir sind dein lokaler IT-Sicherheitspartner.
Häufig gestellte Fragen
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
