Fortinet CVE-2025-25249: Bekannte Ausnutzung ernst nehmen.

Prüfstand: 18. September 2026. CVE-2025-25249 ist seit dem 9. September 2026 im CISA-Katalog bekanntermaßen ausgenutzter Schwachstellen enthalten. Wer betroffene Fortinet-Systeme betreibt, sollte den installierten Stand und die bereits ergriffenen Maßnahmen erneut prüfen. Die CVE wurde im Januar 2026 veröffentlicht; die Aufnahme in den KEV-Katalog ist die neuere Entwicklung.

Worum es bei dieser Schwachstelle geht

Der von Fortinet bereitgestellte CVE-Datensatz beschreibt einen Speicherfehler, genauer einen Heap-basierten Pufferüberlauf. Über entsprechend präparierte Netzwerkpakete kann unerlaubter Code beziehungsweise ein Befehl ausgeführt werden. Die Warnung betrifft bestimmte Versionen von FortiOS, FortiSwitch Manager und FortiSASE. Daraus folgt keine pauschale Betroffenheit aller Geräte und Dienste von Fortinet.

Die Eintragung im KEV-Katalog ist ein Hinweis auf belegte Ausnutzung außerhalb einer reinen Labordemonstration. Sie sagt nicht, dass jedes betroffene Gerät bereits kompromittiert wurde. Für die Priorisierung ist sie dennoch wesentlich: Diese Meldung sollte bei passenden Systemen nicht allein wegen ihres ursprünglichen Veröffentlichungsdatums zurückgestellt werden.

Gleiche Produkt, Version und Betriebsform ab

Erfasse bei selbst betriebenen Systemen die tatsächlich laufende Version, das genaue Produkt und die relevanten Netzwerkzugänge. Bei einem verwalteten Dienst klärst du mit dem zuständigen Anbieter, ob und wann die Abhilfe für deine Umgebung umgesetzt wurde. Halte diese Auskunft fest, statt vom Produktnamen allein auf einen ungepatchten Stand zu schließen.

Nutze zum Versionsabgleich den Herstellerhinweis FG-IR-25-084. Bei der Recherche unterschieden sich einzelne Versionsangaben in der Beschreibung und den strukturierten Feldern des CVE-Datensatzes. Deshalb enthält dieser Beitrag bewusst keine pauschale Freigabe nach dem Muster „ab Version X sicher“. Prüfe vor einer Änderung die aktuelle Produkttabelle, die empfohlene Zielversion und den unterstützten Upgrade-Pfad direkt beim Hersteller.

Bereite die Abhilfe für dein System vor

Wenn dein Stand betroffen ist, plane das passende Herstellerupdate zügig. Sichere Konfiguration und notwendige Daten, kläre den Zugang für den Fehlerfall und berücksichtige Abhängigkeiten zu anderen Komponenten. Verwende nur Update-Dateien und Anleitungen aus den vorgesehenen Herstellerkanälen.

Kannst du nicht sofort aktualisieren, prüfe ausschließlich die für diese Meldung beschriebenen Übergangsmaßnahmen. Eine allgemein eingeschränkte Erreichbarkeit kann die Angriffsfläche reduzieren, ist aber kein Beweis dafür, dass die konkrete Schwachstelle damit zuverlässig abgefangen wird. Ungeprüfte Änderungen an einer Firewall können außerdem den eigenen Verwaltungszugang unterbrechen.

Prüfe neben dem Update auch mögliche Auffälligkeiten

Kontrolliere nach dem Eingriff die laufende Version, die Konfiguration und die für deinen Betrieb wichtigen Verbindungen. Notiere den Zeitpunkt und die angewendete Herstellerempfehlung. Bei Systemen, die zuvor angreifbar waren, gehört zusätzlich die Frage dazu, ob ungewöhnliche administrative Aktivitäten oder Konfigurationsänderungen aufgetreten sind.

Besteht ein Verdacht auf einen Angriff, sichere vorhandene Protokolle und hole die zuständige IT beziehungsweise den Hersteller-Support hinzu. Ein Firmwareupdate allein beseitigt nicht zwangsläufig alle Folgen einer früheren Kompromittierung. Für Entscheidungen nach dem genannten Prüfdatum solltest du die verlinkten Quellen erneut öffnen: Sicherheitsmeldungen und Empfehlungen können ergänzt werden.