Fortinet warnt vor einer kritischen Schwachstelle in FortiSIEM. Sie trägt den CVSS-Wert 9,4. Ein Angreifer ohne Anmeldung kann über präparierte Pakete Code oder Befehle ausführen. Als Notlösung nennt Fortinet die Sperre des TCP-Ports 27918. FortiSIEM Cloud ist nicht betroffen.
Ein Fehler mit CVSS 9,4 trifft FortiSIEM. Angreifer brauchen kein Login. Ein Port-Filter schützt vorerst.
Das Wichtigste in Kürze
- Kritische Lücke: Der Hersteller bewertet die Schwachstelle in FortiSIEM mit einem CVSS-Wert von 9,4.
- Ohne Anmeldung ausnutzbar: Ein Angreifer schickt präparierte Pakete und kann dadurch Code oder Befehle ausführen.
- Notlösung vorhanden: Wer den TCP-Port 27918 sperrt, verhindert das Problem.
- Cloud-Variante verschont: FortiSIEM Cloud ist laut Hersteller nicht betroffen.
Was das Advisory zur Lücke sagt
Fortinet hat die Meldung am 13. Oktober 2026 erstmals veröffentlicht. Die letzte Überarbeitung trägt dasselbe Datum. Der Text blieb also bis heute unverändert. Das Dokument heisst "Arbitrary file write in grpc phQueryMaster". Die Details stehen im Advisory im Fortinet PSIRT.
Der Fehler gehört zur Klasse Path Traversal (CWE-22). Dabei prüft eine Software einen Dateipfad zu locker. Ein Angreifer kann dann aus dem erlaubten Ordner ausbrechen. Der Titel des Advisorys deutet auf beliebiges Schreiben von Dateien hin. Das ist eine Deutung des Titels. Der Text führt sie nicht weiter aus.
Zudem beschreibt der Hersteller den Angriff knapp. Ein Angreifer ohne Anmeldung sendet speziell gebaute Pakete. Damit kann er nicht erlaubten Code oder nicht erlaubte Befehle ausführen. Weitere technische Einzelheiten fehlen in der Quelle.
Der Schutz: Zugriff auf Port 27918 begrenzen
Für den Übergang gibt es eine konkrete Gegenmassnahme. Wer den Zugriff auf den TCP-Port 27918 einschränkt, verhindert das Problem. Das gilt als Workaround, also als Übergangslösung. Sie ersetzt kein Update, bringt aber schnell Ruhe. Eine Firewall-Regel lässt sich in vielen Netzen rasch anpassen.
Deshalb lohnt sich ein schneller Blick auf die eigene Umgebung. Diese Punkte helfen bei der Prüfung:
- Prüfe, ob Du FortiSIEM selbst betreibst oder die Cloud-Variante nutzt.
- Kontrolliere, wer den TCP-Port 27918 im Netz erreichen kann.
- Begrenze den Zugriff über Firewall-Regeln auf das Nötigste.
- Halte fest, welche Geräte und Systeme mit FortiSIEM Daten austauschen.
Die Quelle sagt nicht, welche Versionen betroffen sind. Sie führt auch keine Updates auf, die den Fehler beheben. Solche Angaben fehlen im vorliegenden Text. Schau deshalb direkt im Advisory nach, ob sie später ergänzt werden.
Kennzahlen im Überblick
| Kennzahl | Wert | Bedeutung |
|---|---|---|
| CVSS-Wert | 9,4 | Der Hersteller stuft den Fehler als kritisch ein. |
| Schwachstellenklasse | CWE-22 (Path Traversal) | Ein Pfad wird zu wenig geprüft, ein Ausbruch aus dem erlaubten Ordner wird möglich. |
| Angreifer | Ohne Anmeldung | Es braucht kein Konto, nur Zugriff auf den Port. |
| Workaround | TCP-Port 27918 sperren | Das verhindert das Problem laut Hersteller. |
| FortiSIEM Cloud | Nicht betroffen | Nur selbst betriebene Installationen kommen in Frage. |
So zeigt die Tabelle, wo das Risiko liegt. Es liegt bei Systemen, auf deren Port 27918 fremde Pakete gelangen können. Je weniger Stellen im Netz diesen Port erreichen, desto kleiner ist die Angriffsfläche.
Dazu kommt ein Punkt, der oft vergessen geht. Ein Überwachungssystem sammelt Daten aus dem ganzen Netz. Gerät es unter fremde Kontrolle, sieht ein Angreifer viel von dem, was im Betrieb passiert. Die Quelle sagt dazu nichts. Der Gedanke zeigt aber, warum eine Sperre am Port rasch erfolgen sollte.
Einordnung: Was das für Admins in der Schweiz heisst
Wer FortiSIEM selbst betreibt, sollte den TCP-Port 27918 jetzt prüfen und den Zugriff einschränken. Das kostet laut Quelle nur eine Anpassung der Zugriffsregeln. Eine Frist steht nicht im Advisory, doch die Lücke ist kritisch und ohne Anmeldung nutzbar. Ob Angriffe schon laufen, steht nicht in der Quelle. Nutzer von FortiSIEM Cloud müssen laut Hersteller nichts tun. Alle anderen sollten das Advisory im Auge behalten, bis neue Schritte erscheinen.
Fazit
Du weisst jetzt, dass FortiSIEM eine kritische Lücke mit CVSS 9,4 hat. Der Workaround ist klar: Der Zugriff auf den TCP-Port 27918 muss eingeschränkt sein. Prüfe als nächsten Schritt Deine Firewall-Regeln. Lies danach das Advisory auf Ergänzungen zu Versionen und Updates.
Quellen: Fortinet PSIRT. Foto: Bru-nO / Pixabay. Stand: 18. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.