---

📋 Übersicht

CVE-2026-21643 ist eine kritische SQL-Injection-Schwachstelle (CWE-89), die Fortinet FortiClient Endpoint Management Server (FortiClientEMS) nur in Version 7.4.4 betrifft.

Ein nicht authentifizierter entfernter Angreifer kann speziell präparierte HTTP-Anfragen an die webbasierte Verwaltungsoberfläche (GUI) senden und unbefugte SQL-Befehle ausführen. Dies kann zu einer vollständigen Systemkompromittierung führen, einschließlich beliebiger Codeausführung auf dem Server.

Hauptrisiko: Die Schwachstelle ist ohne Authentifizierung ausnutzbar, wodurch jede über das Internet exponierte oder erreichbare FortiClientEMS-Instanz ein hochwertiges Ziel darstellt.

---

🔍 Technische Details

• CVE-ID: CVE-2026-21643
• Fortinet IR: FG-IR-25-1142
• Schweregrad: Kritisch
• CVSS v3.1-Score: 9.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
• Schwachstellentyp: Unzureichende Neutralisierung spezieller Elemente in einem SQL-Befehl (SQL Injection)
• Betroffene Komponente: Administrative Weboberfläche (GUI)
• Angriffsvektor: Remote, über speziell präparierte HTTP-Anfragen (Berichten zufolge unter Verwendung des Site-Headers in Multi-Tenant-Umgebungen und Endpunkten wie /api/v1/init_consts)
• Erforderliche Authentifizierung: Keine
• Benutzerinteraktion: Keine
• Bekannte öffentliche Ausnutzung: Nein (Stand März 2026)
• Entdeckt von: Intern durch Fortinet (Gwendal Guégniaud, Product-Security-Team)

---

📊 Betroffene Versionen

---

✅ Behebung

Dringendes Handeln empfohlen:

1. Sofort aktualisieren auf FortiClientEMS 7.4.5 oder eine neuere Version (einschließlich des 8.0-Zweigs).
2. Zugriff auf die administrative GUI einschränken:
   • Hinter einem VPN, einer Firewall oder einer Zero-Trust-Lösung platzieren.
   • Vermeiden, die EMS-Weboberfläche direkt über das Internet zu exponieren.
3. Protokolle auf verdächtige Anfragen an Admin-Endpunkte überwachen (z. B. unter Verwendung des Site-Headers oder fehlerbasierter SQLi-Muster).
4. FortiGuard-IPS-Signaturen anwenden, falls verfügbar, um zusätzlichen Schutz zu erhalten.

Offizielles Fortinet-Advisory:
https://fortiguard.fortinet.com/psirt/FG-IR-25-1142

---

🛡️ Risikominderung & Best Practices

• Patch-Priorität: Hoch — als Notfall behandeln, da keine Authentifizierung erforderlich ist.
• Falls ein Patch nicht sofort möglich ist, blockieren Sie den externen Zugriff auf die EMS-Verwaltungsoberfläche.
• Multi-Tenant-Konfigurationen überprüfen (aufgrund der Site-Header-Behandlung stärker exponiert).
• Detaillierte Protokollierung aktivieren und auf Datenbankfehler-Leaks überwachen.
• Regelmäßig Ihre Umgebung auf exponierte FortiClientEMS-Instanzen scannen.

Hinweis: Der Fehler wurde während einer Middleware-Refaktorierung in 7.4.4 im Zusammenhang mit der Multi-Tenant-Unterstützung eingeführt und in 7.4.5 stillschweigend behoben.

---

📚 Referenzen & weiterführende Literatur

• NVD - CVE-2026-21643
• Fortinet PSIRT Advisory FG-IR-25-1142
• Arctic Wolf Analyse
• The Hacker News Berichterstattung
• Qualys ThreatPROTECT
• SentinelOne-Schwachstellendatenbank

---

📌 Haftungsausschluss

Dieses Repository dient ausschließlich defensiven Sicherheits-, Sensibilisierungs- und Informationszwecken. Beziehen Sie sich stets auf das offizielle Fortinet-Advisory, um die genauesten und aktuellsten Anweisungen zu erhalten.

Hier sind keine öffentlichen Exploits enthalten.

---

⭐ Gib diesem Repo einen Stern, wenn es dir geholfen hat, sicher zu bleiben!
🛠️ Beiträge, Korrekturen oder zusätzliche IOCs sind über Pull Requests willkommen.

Zuletzt aktualisiert: März 2026