Eine Woche Vorsprung reicht offenbar nicht immer: Für die kritische FortiSIEM-Lücke CVE-2026-106173 hat die Sicherheitsfirma Horizon3.ai am 20. Oktober einen funktionierenden Exploit veröffentlicht — sieben Tage, nachdem Fortinet den Patch bereitgestellt hatte.
WAS GENAU KAPUTT IST
Die Lücke sitzt in einem internen gRPC-Dienst von FortiSIEM, der auf TCP-Port 27918 lauscht. Ein Angreifer kann über einen manipulierten query-id-Parameter aus dem eigentlich vorgesehenen Verzeichnis /query/result/ ausbrechen — klassischer Path Traversal (CWE-22) — und damit Dateien an beliebigen Stellen des Systems schreiben. Das Ergebnis: Remote Code Execution, und zwar ohne Login, ohne Client-Zertifikat.
Fortinet selbst bewertet die Lücke mit CVSS 9,4, die NVD-Datenbank sogar mit 9,8 — ein Unterschied, der zeigt, wie unterschiedlich Hersteller und unabhängige Datenbanken dieselbe Lücke manchmal einschätzen. Beide Werte liegen klar im kritischen Bereich.
WER BETROFFEN IST
Betroffen ist konkret FortiSIEM 7.5.0. Die Version 7.6 und die FortiSIEM-Cloud-Variante sind nach Fortinets eigenen Angaben nicht verwundbar. Fortinet entdeckte die Lücke selbst im internen Product-Security-Team und veröffentlichte den Fix bereits am 13. Oktober mit Version 7.5.1.
GEFAHR! Der Unterschied zwischen „gepatcht“ und „geschützt“
Genau hier liegt das eigentliche Problem dieser Meldung: Der Patch existiert bereits seit über einer Woche — aber in der Praxis aktualisieren viele SIEM-Installationen nicht sofort, weil es sich um zentrale, oft kritische Überwachungssysteme handelt, deren Wartungsfenster sorgfältig geplant werden. Genau diese Verzögerung macht aus einem „schon gepatcht“-Fall einen akuten Vorfall, sobald ein öffentlich funktionierender Exploit auftaucht. Eine aktive Ausnutzung in freier Wildbahn ist zum Zeitpunkt der Veröffentlichung noch nicht dokumentiert — angesichts des verfügbaren PoC und der fehlenden Authentifizierungsanforderung dürfte sich das aber schnell ändern können.
SO SCHÜTZT DU DEIN SYSTEM
- Erste Priorität: Auf FortiSIEM 7.5.1 oder neuer aktualisieren.
- Kein Update möglich? Zugriff auf TCP-Port 27918 strikt auf vertrauenswürdige interne Systeme beschränken — ein virtueller Patch existiert laut Fortinet nicht, Netzwerksegmentierung ist die einzige Alternative.
- FortiSIEM Cloud? Hier besteht nach aktuellem Stand kein Handlungsbedarf, die Variante ist nicht betroffen.
- Logs prüfen: Ungewöhnliche Zugriffe auf Port 27918 oder unerwartete Dateien im Query-Verzeichnis sind ein Warnsignal.
FAZIT: Jetzt zählt jede Stunde
FortiSIEM überwacht in vielen Unternehmen genau die Systeme, die eigentlich vor solchen Angriffen schützen sollen. Dass eine kritische, unauthentifizierte Lücke darin jetzt öffentlichen Exploit-Code hat, ist ein klares Signal: Wer das Update aus Vorsicht noch aufgeschoben hat, sollte das Zeitfenster bis zur ersten dokumentierten Ausnutzung nicht länger verstreichen lassen.