Fortinet FortiAnalyzer, FortiManager, FortiOS und FortiProxy: Schwachstelle ermöglicht Erlangen von Administratorrechten
WID-SEC-2026-0226 · primera publicación 28.01.2026 · actualizado 28.01.2026 · CVSS 9,8
De qué se trata
FortiAnalyzer ist eine Plattform zur Protokollverwaltung, Analyse und Berichterstellung. FortiManager Security Management Appliances ermöglicht die Verwaltung von Fortinet Network Security Geräten. FortiOS ist ein gehärtetes Betriebssystem für FortiGate Plattformen. FortiProxy ist eine Web-Proxy Lösung. Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Fortinet FortiAnalyzer, Fortinet FortiManager, Fortinet FortiOS und Fortinet FortiProxy ausnutzen, um die Authentifizierung zu umgehen und so Administratorrechte zu erlangen.
¿En qué condiciones?
A través de la red y sin iniciar sesión. Es la combinación más peligrosa: los atacantes pueden rastrear automáticamente los dispositivos accesibles.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- die Authentifizierung zu umgehen
- so Administratorrechte zu erlangen
¿Me afecta?
Afectados según el BSI:
- Fortinet FortiAnalyzer <7.6.6
- Fortinet FortiAnalyzer <7.4.10
- Fortinet FortiAnalyzer <7.2.12
- Fortinet FortiAnalyzer <7.0.16
- Fortinet FortiManager <7.6.6
- Fortinet FortiManager <7.4.10
- Fortinet FortiManager <7.2.13
- Fortinet FortiManager <7.0.16
- Fortinet FortiOS <7.6.6
- Fortinet FortiOS <7.4.11
- Fortinet FortiOS <7.2.13
- Fortinet FortiOS <7.0.19
y 2 más
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Fortinet FortiAnalyzer 7.6.6
- Fortinet FortiAnalyzer 7.4.10
- Fortinet FortiAnalyzer 7.2.12
- Fortinet FortiAnalyzer 7.0.16
- Fortinet FortiManager 7.6.6
- Fortinet FortiManager 7.4.10
- Fortinet FortiManager 7.2.13
- Fortinet FortiManager 7.0.16
- Fortinet FortiOS 7.6.6
- Fortinet FortiOS 7.4.11
- Fortinet FortiOS 7.2.13
- Fortinet FortiOS 7.0.19
¿Se está explotando ya la vulnerabilidad?
- CVE-2026-24858: explotada en la práctica según la CISA, en el catálogo desde el 27.01.2026.
Información y fuentes
- Aviso original del BSI (WID)
- FortiGuard PSIRT Advisory FG-IR-26-060 vom 2026-01-27 www.fortiguard.com
- FortiGuard PSIRT Blog vom 2026-01-27 www.fortinet.com
CVE: CVE-2026-24858
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.