CVE-2026-24858
Fortinet Sicherheitslücke bei der Authentifizierungsumgehung in mehreren Produkten über einen alternativen Pfad oder Kanal
- Veröffentlicht
- 27.01.2026
- Aktualisiert
- 09.06.2026
- CNA zuweisen
- fortinet
- Beweise beobachtet
- 27.01.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HHoch · nächste 30 Tage
- Perzentil
- 99,7 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
CISA bekanntermaßen ausgenutzt
Dieses CVE erscheint im CISA-Katalog „Known Exploited Vulnerabilities“.
Zusammenfassung
Eine Schwachstelle bezüglich Authentication Bypass Using an Alternate Path or Channel [CWE-288] in Fortinet FortiAnalyzer 7.6.0 bis 7.6.5, FortiAnalyzer 7.4.0 bis 7.4.9, FortiAnalyzer 7.2.0 bis 7.2.11, FortiAnalyzer 7.0.0 bis 7.0.15, FortiManager 7.6.0 bis 7.6.5, FortiManager 7.4.0 bis 7.4.9, FortiManager 7.2.0 bis 7.2.11, FortiManager 7.0.0 bis 7.0.15, FortiNAC-F 7.6.3 bis 7.6.5, FortiOS 7.6.0 bis 7.6.5, FortiOS 7.4.0 bis 7.4.10, FortiOS 7.2.0 bis 7.2.12, FortiOS 7.0.0 bis 7.0.18, FortiProxy 7.6.0 bis 7.6.4, FortiProxy 7.4.0 bis 7.4.12, FortiProxy 7.2.0 bis 7.2.15, FortiProxy 7.0.0 bis 7.0.22, FortiWeb 8.0.0 bis 8.0.3, FortiWeb 7.6.0 bis 7.6.6, FortiWeb 7.4.0 bis 7.4.11 könnte es einem Angreifer mit einem FortiCloud-Konto und einem registrierten Gerät ermöglichen, sich bei anderen Geräten anzumelden, die bei anderen Konten registriert sind, sofern die FortiCloud-SSO-Authentifizierung auf diesen Geräten aktiviert ist.
Quellen
- cve-2026-24858Exploit
Python-Helfer zum Scannen der Fortinet-Webverwaltung auf CVE-2026-24858 SSO-Authentifizierungsumgehung und optional zum Senden expliziter Payloads mit Benutzerautorisierung.
- CVE-2026-24858Forschung
Detaillierte Analyse der Fortinet FortiCloud SSO-Authentifizierungsumgehung (CVE-2026-24858) einschließlich technischer Aufschlüsselung, Angriffsszenarien, Erkennungsmethoden und Anleitung zur Risikominderung.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.