Firewall-Schwachstellen und Patch-Management: FortiGate-Leitfaden

Warum sind Firewall-Schwachstellen ein so attraktives Angriffsziel?

Weil Firewall und VPN-Gateway aus dem gesamten Internet erreichbar sind und selbst die Tür ins interne Netz bilden. Die Leitlinie ITSM.80.101 des Canadian Centre for Cyber Security (CCCS) vom Februar 2025 betont, dass Edge-Geräte meist öffentliche IP-Adressen haben und deshalb besonders anfällig für Ausnutzung sind. Edge-Geräte anzugreifen sei für viele Akteure, auch staatlich unterstützte, zur bevorzugten Taktik geworden.

Der Data Breach Investigations Report 2025 (DBIR) von Verizon ermittelte, dass Edge-Geräte und VPNs bei 22 % der Aktionen zur Schwachstellenausnutzung das Ziel waren; im Vorjahresbericht waren es 3 %. Von 17 untersuchten Edge-Schwachstellen kamen 9 am Tag der CVE-Veröffentlichung oder früher in den KEV-Katalog, Verteidiger hatten also keinen Vorlauf. Laut DBIR-Zusammenfassung 2026 ist Schwachstellenausnutzung inzwischen der häufigste Erstzugriffsvektor (31 %), auch bei KMU (26 %).

Eine kompromittierte Firewall betrifft weit mehr als einen Server: Dasselbe Gerät trägt oft VPN, Webfilter, Anwendungskontrolle und Richtlinien zur Nutzung generativer KI. Edge-Patches gehören deshalb in eine eigene, schnellere Wartungsgruppe.

Was zeigt der CISA-KEV-Katalog zu FortiGate und FortiOS?

Der Katalog Known Exploited Vulnerabilities (KEV) der US-Behörde CISA (Cybersecurity and Infrastructure Security Agency) listet Schwachstellen mit bestätigter Ausnutzung. Die am 7. Oktober 2026 heruntergeladene Version 2026.10.04 umfasst 1.734 Einträge. Laut NIST SP 800-40 Rev. 4 müssen US-Bundesbehörden diese Einträge fristgerecht beheben; andere Organisationen können den Katalog freiwillig zur Priorisierung nutzen.

Wir haben die JSON-Daten selbst ausgewertet. Zwischen dem 1. Januar 2025 und dem 4. Oktober 2026 kamen 495 Einträge hinzu; 16 betreffen Fortinet-Produkte (8 in 2025, 8 in 2026), davon 7 FortiOS (das Betriebssystem der FortiGate). Ordnet man Firewall-, VPN-/Remote-Access-Gateway- und Application-Delivery-Produkte (ADC) nach Produktnamen zu, fallen 48 der 495 Einträge (rund jeder zehnte) in diese Gruppe; 14 davon sind als „Known“ für Ransomware-Kampagnen markiert.

Zwei Beobachtungen prägen den Patch-Prozess. Alte Schwachstellen tauchen weiter auf: 6 der 48 tragen CVE-Nummern aus 2015–2023, ungepatchte Altgeräte bleiben also Ziele. Und die Fristen sind kürzer geworden: Bei 226 der 245 Einträge aus 2025 lagen zwischen Aufnahme und Frist 21 Tage, bei 125 der 250 Einträge aus 2026 nur 3 Tage.

Versionen und Maßnahmen stammen aus den verlinkten Hinweisen des Fortinet PSIRT (Product Security Incident Response Team), abgerufen am 7. Oktober 2026; Hinweise werden aktualisiert, öffnen Sie daher vor dem Handeln die aktuelle Fassung. Auffällig: Fortinet stufte CVE-2019-6693 (CVSS 4,2) und CVE-2025-68686 (CVSS 5,3) als „mittel“ ein, dennoch landeten beide im KEV. Der Hinweis zu CVE-2025-25249 (CVSS 7,4) zeigte an unserem Abrufdatum noch „Known Exploited: No“, obwohl CISA die Schwachstelle am 9. September 2026 aufgenommen hatte.

Wie verfolgen Sie Herstellerhinweise und den KEV-Katalog?

Grundlage ist ein Inventar mit FortiOS-Version und aktivierten Funktionen je Gerät; ein Hinweis nützt erst, wenn er damit abgeglichen wird. Nach Fortinets Schwachstellenrichtlinie erscheinen PSIRT-Hinweise am zweiten Dienstag jedes Monats. Bei kritischen Lücken und aktiver Ausnutzung sind Hinweise außerhalb des Zyklus möglich, die noch nicht alle Patches oder Workarounds enthalten müssen.

Eine wöchentliche Checkliste:

• Neue Fortinet-Hinweise und neue KEV-Einträge zu Edge-Produkten mit dem Inventar abgleichen; rutscht ein „geplanter“ Punkt in den KEV, Priorität erhöhen.
• Notieren, ob die Übergangsmaßnahme auf Ihre Konfiguration passt (Ist FortiCloud SSO aktiv, wurde SSL-VPN je genutzt?).
• Nicht unterstützte Zweige markieren: Fortinets Richtlinie gilt nur für Produkte vor dem End of Life, mittelschwere Lücken werden nur in aktueller und vorheriger Version behoben.
• Jede Entscheidung dokumentieren; laut NIST SP 800-40 Rev. 4 hilft die Patch-Historie je Asset bei der Vorfallsbearbeitung.

Welche Lücke schließt das Firewall-Patch-Management zuerst?

Zuerst die Lücke, die nachweislich ausgenutzt wird und eine bei Ihnen aus dem Internet erreichbare Komponente betrifft; der CVSS-Wert ist nur ein Eingangswert. NIST SP 800-40 Rev. 4 empfiehlt, auf vier Szenarien vorbereitet zu sein: Routine-Patching, Notfall-Patching, Notfall-Mitigation und nicht patchbare Assets. Die folgende Matrix ist unser eigenes Entscheidungswerkzeug, um das Szenario mit drei Fragen zu bestimmen.

• Exposition: Ist die betroffene Komponente (Verwaltungsoberfläche, SSL-VPN, IPsec, FortiCloud SSO, Fabric-Zugriff) aus dem Internet, nur intern oder gar nicht erreichbar?
• Ausnutzungsstatus: Steht sie im KEV oder meldet der Hersteller Ausnutzung, oder ist sie nur veröffentlicht?
• Geschäftsauswirkung: Ist das Gerät der einzige Internetausgang, hängen Filialen und Remote-Mitarbeitende daran, gibt es ein HA-Paar (Hochverfügbarkeit)?

Die Geschäftsauswirkung ändert nicht die Klasse, sondern Methode und Reihenfolge. Am Hauptstandort mit HA-Paar lässt sich ein rollierendes Upgrade planen; eine Filiale mit Einzelgerät braucht ein kurzes Ausfallfenster und Konsolenzugang. Innerhalb einer Klasse beginnen Sie mit dem Gerät, das die meisten Dienste und Nutzer trägt.

Zielzeiten legen Sie in Ihrer Richtlinie oder Ihrem Servicevertrag fest. Zur Orientierung: Laut NIST kann Notfall-Patching Stunden oder Tage dauern, und bei der Hälfte der 2026 in den KEV aufgenommenen Einträge (125 von 250) betrug die Frist für US-Bundesbehörden 3 Tage. Landet ein „P3“-Punkt im KEV, bewerten Sie ihn noch am selben Tag neu.

Wie planen Sie ein FortiOS-Update in ein Wartungsfenster ein?

Ein FortiOS-Update folgt einem wiederholbaren Ablauf: Zielversion wählen, vorbereiten, gestaffelt ausrollen, prüfen. Upgrade-Pfade und Rollback behandelt unser Leitfaden zum FortiOS-Upgrade; hier fassen wir die für das Patch-Management wichtigen Schritte zusammen, gestützt auf den FortiOS 7.6.5 Administration Guide.

1. Zielversion wählen. Ermitteln Sie die korrigierte Version Ihres Zweigs. „Migrate to a fixed release“ (wie für 6.4 bei CVE-2025-25249) bedeutet einen Zweigwechsel, keinen Patch, und braucht mehr Vorbereitung.
2. Reifegrad und Lizenz prüfen. Seit FortiOS 7.2.0 tragen Releases das Kennzeichen „Mature“ oder „Feature“. Der Wechsel auf ein anderes Minor-Release (etwa 7.4 auf 7.6) erfordert eine gültige FMWR-Lizenz (Firmware & General Updates); planen Sie die FortiGate-Lizenzverlängerung im Patch-Kalender mit.
3. Upgrade-Pfad bestätigen. Fortinet-Hinweise empfehlen, die korrigierte Version über die Zwischenstände des Upgrade Path Tool zu erreichen.
4. Vorbereiten. Konfiguration und lokale Zertifikate passwortgeschützt sichern, aktuelles Image aufbewahren, Konsolenzugang und Rollback-Schritte bereithalten.
5. Gestaffelt ausrollen. Wie von NIST empfohlen zuerst ein Testgerät oder eine kleine Filiale (Canary-Test); für HA-Cluster das unterbrechungsfreie Cluster-Upgrade des Herstellers prüfen.
6. Prüfen. Version, VPN-Tunnel, kritische Richtlinien und Logs kontrollieren; neue Firmware ersetzt Antivirus- und Angriffsdefinitionen, prüfen Sie also deren Aktualität.
7. Auf Kompromittierung prüfen. Bei ausgenutzten Lücken die Indikatoren des Hinweises sichten; FG-IR-26-060 empfiehlt, alle Administratorkonten auf unerwartete Einträge zu prüfen.
8. Dokumentieren und messen. Nach NIST den Anteil fristgerecht eingespielter Patches sowie Mittelwert und Median der Patch-Dauer verfolgen.

Laut Dokumentation zu FortiOS 7.6.5 sind automatische Patch-Upgrades auf allen FortiGate-Modellen standardmäßig aktiv. Das Gerät installiert neue Patches nur innerhalb desselben Minor-Releases, standardmäßig nach 3 Tagen Verzögerung zu einer zufälligen Zeit zwischen 02:00 und 04:00 Uhr. In einer Security Fabric, unter FortiManager-Verwaltung oder als sekundäre HA-Einheit lässt sich die Funktion nicht aktivieren. Im kleinen Büro mit einem Gerät kann sie Verzögerungen verringern; größere Umgebungen fahren mit einem zentralen Plan samt Änderungsprotokoll besser.

Welche kompensierenden Maßnahmen gelten bis zum Wartungsfenster?

Setzen Sie Maßnahmen ein, die die Angriffsfläche verkleinern; sie überbrücken die Zeit, ersetzen aber keinen Patch. NIST SP 800-40 Rev. 4 empfiehlt, sowohl die endgültige Korrektur als auch das Entfernen jeder Notfall-Mitigation zu terminieren. Die Empfehlungen des CCCS und die Maßnahmen in Fortinet-Hinweisen überschneiden sich weitgehend:

Nutzen Sie SSL-VPN nicht, entfernt das Abschalten in vielen Hinweisen die betroffene Komponente; laut FG-IR-25-934 sind Geräte, auf denen SSL-VPN nie aktiv war, nicht betroffen. Zu den Änderungen in FortiOS 7.6 und Alternativen siehe unseren SSL-VPN-Migrationsplan und den ZTNA-Leitfaden. Logs auf einer separaten Plattform wie FortiAnalyzer bleiben vertrauenswürdig, auch wenn das Gerät selbst fraglich ist; zur Aufbewahrung nach dem türkischen Gesetz 5651 siehe unseren Beitrag zum zentralen Log-Management.

Was bringt ein Wartungs- oder Managed-Service-Modell für das Patchen?

Ein Wartungs- oder Managed-Service-Modell verbindet das Lesen eines Hinweises und das Einspielen des Patches über klare Zuständigkeiten und einen Kalender. NIST SP 800-40 Rev. 4 nennt die Risikoteilung mit einem Dienstleister, der das Patchen übernimmt, als „Transfer“-Reaktion; die Freigabe des Wartungsfensters und die Bewertung der Geschäftsauswirkung bleiben aber in jedem Modell beim Unternehmen.

Servicemodelle vergleichen wir im Beitrag zu Managed-Firewall-Services, Routineaufgaben in Firewall-Wartung und Hardwarefehler in FortiGate-Wartung und Reparatur. Sora Yazılım bietet über seinen Service für Firewall-Wartung und -Verwaltung Unterstützung einschließlich Firmware-Planung und übernimmt Auswahl, Beschaffung und Installation von FortiGate-Produkten. Der Umfang wird je Vertrag festgelegt.

Häufige Fragen

Sollte ich automatische Patch-Upgrades auf der FortiGate aktiviert lassen?

An kleinen Standorten mit einem Gerät, die einen kurzen Ausfall verkraften, kann das Patch-Verzögerungen verringern. Laut Dokumentation zu FortiOS 7.6.5 ist die Funktion standardmäßig aktiv und installiert Patches nur innerhalb desselben Minor-Releases. Unter FortiManager-Verwaltung, in einer Security Fabric oder als sekundäre HA-Einheit steht sie nicht zur Verfügung; dort braucht es einen zentralen, dokumentierten Patch-Plan.

Ist eine Schwachstelle, die nicht im KEV steht, unwichtig?

Nein. Der KEV listet Schwachstellen mit bestätigter Ausnutzung; ein fehlender Eintrag beweist nichts. Der Hinweis zu CVE-2025-25249 zeigte an unserem Abrufdatum „Known Exploited: No“, dennoch wurde die Lücke am 9. September 2026 in den KEV aufgenommen. Hohe oder kritische Lücken in internetseitigen Komponenten ohne Warten auf den KEV beschleunigt einzuplanen, ist der vorsichtigere Weg.

Erhalte ich nach Ablauf der Lizenz noch Sicherheitspatches?

Teilweise. Laut Dokumentation zu FortiOS 7.6.5 wird eine FortiGate ohne gültige FMWR-Lizenz oder am Supportende automatisch auf den neuesten Patch ihres aktuellen Minor-Releases aktualisiert. Für das nächste Minor- oder Major-Release ist eine gültige Lizenz nötig; verlangt ein Hinweis einen Zweigwechsel, kann der Lizenzstatus ihn verhindern. Behalten Sie Verlängerungstermine im Patch-Kalender.

Ist das Gerät nach dem Patch sicher?

Der Patch schließt nur die Schwachstelle. Fortinets PSIRT-Analyse vom April 2025 beschreibt Angreifer, die nach dem Patchen weiter lesenden Zugriff hatten, und empfiehlt die Prüfung der Konfiguration. Kontrollieren Sie nach einer ausgenutzten Lücke Administratorkonten, lokale Benutzer, Richtlinienänderungen und Logs und starten Sie bei Verdacht Ihren Incident-Response-Plan.

Was passiert, wenn ich auf einem alten FortiOS-Zweig wie 6.4 bleibe?

Für manche Lücken erscheint für den alten Zweig gar kein Patch: Die Hinweise zu CVE-2025-25249 und CVE-2025-68686 nennen für FortiOS 6.4 „Migrate to a fixed release“. Fortinets Richtlinie gilt nur für Produkte vor dem End of Life und behebt mittelschwere Lücken nur in aktueller und vorheriger Version. Planen Sie für solche Geräte einen Zweigwechsel oder einen Hardwaretausch.

Lässt sich dieser Prozess mit externer Unterstützung betreiben?

Ja. Hinweisverfolgung, Inventarabgleich, Priorisierungsvorschläge, Upgrades und Prüfung lassen sich mit einem Dienstleister teilen, während Fensterfreigabe und Bewertung der Geschäftsauswirkung bei Ihnen bleiben. Der Umfang wird im Vertrag festgelegt. Um Versions- und Expositionsstand Ihrer Geräte zu besprechen, kontaktieren Sie uns.

Fazit

• Edge-Geräte sind aus dem Internet erreichbar und daher Ziele; im DBIR 2025 stieg der Edge- und VPN-Anteil bei Schwachstellenausnutzung von 3 % auf 22 %.
• Verfolgen Sie Fortinet-Hinweise und den CISA-KEV-Katalog gemeinsam; KEV 2026.10.04 listet 16 seit Anfang 2025 aufgenommene Fortinet-Einträge.
• Exposition, Ausnutzung und Geschäftsauswirkung bestimmen die Priorität; planen Sie jeden Patch mit Lizenz, Upgrade-Pfad, Sicherung, Canary-Test und Prüfung.
• Bis zum Fenster: Verwaltungszugriff einschränken, ungenutzte Funktionen abschalten, MFA und externes Logging nutzen.

Sora Yazılım unterstützt Wartung und Verwaltung von FortiGate-Geräten; der Patch-Kalender wird im Vertrag vereinbart.

Angebot anfordern · WhatsApp: WhatsApp-Support · Telefon: +90 544 785 21 87 · E-Mail: talep@sorayazilim.com

Quellen

1. Known Exploited Vulnerabilities Catalog, Katalogversion 2026.10.04 (JSON) — CISA, 2026. raw.githubusercontent.com (abgerufen am 7. Oktober 2026)
2. PSIRT-Hinweise FG-IR-24-535, FG-IR-19-007, FG-IR-25-647, FG-IR-26-060, FG-IR-25-934, FG-IR-25-084 — Fortinet, 2020–2026. fortiguard.fortinet.com (abgerufen am 7. Oktober 2026)
3. Fortinet Security Vulnerability Policy — Fortinet PSIRT. fortiguard.fortinet.com (abgerufen am 7. Oktober 2026)
4. Analysis of Threat Actor Activity — Fortinet PSIRT Blog, 10. April 2025. fortinet.com (abgerufen am 7. Oktober 2026)
5. FortiOS 7.6.5 Administration Guide (automatische Firmware-Upgrades, Firmware-Lizenz, Local-in-Virtual-Patching) — Fortinet. docs.fortinet.com, docs.fortinet.com, docs.fortinet.com (abgerufen am 7. Oktober 2026)
6. Upgrade Path Tool — Fortinet Document Library. docs.fortinet.com (abgerufen am 7. Oktober 2026)
7. NIST SP 800-40 Rev. 4: Guide to Enterprise Patch Management Planning — NIST, April 2022. csrc.nist.gov
8. Security considerations for edge devices (ITSM.80.101) — Canadian Centre for Cyber Security, Februar 2025. cyber.gc.ca
9. 2025 Data Breach Investigations Report — Verizon, 2025. verizon.com (abgerufen am 7. Oktober 2026)
10. 2026 DBIR Executive Summary — Verizon, 2026. verizon.com (abgerufen am 7. Oktober 2026)
11. USOM-Mitteilung zur Verlagerung der Sicherheitsmeldungen auf siberguvenlik.gov.tr — USOM (Türkei). usom.gov.tr

Wie dieser Beitrag entstand

Erstellt von: Sora Yazılım Team. Dieser Beitrag wurde mit KI-Unterstützung erstellt; technische Angaben wurden am 7. Oktober 2026 mit den im Text verlinkten Hersteller- und offiziellen Quellen abgeglichen. Die KEV-Zählungen stammen von uns aus den JSON-Daten des Katalogs; die Edge-Klassifizierung beruht auf Produktnamen.

Verwandte Artikel

• Leitfaden zum FortiOS-Upgrade — Upgrade-Pfad, Vorabprüfungen und Rollback-Plan.
• Generative KI mit der Firewall steuern — Sperren, Freigabelisten und Data Loss Prevention im Vergleich.
• Was ist ein Managed-Firewall-Service? — Servicemodelle und Umfang im Vergleich.
• Firewall-Regelbereinigung und Policy-Audit — Angriffsfläche durch Entfernen unnötiger Regeln verkleinern.