Angreifer attackieren derzeit Sicherheitslücken in BeyondTrust Remote Support und in mehreren Fortinet-Produkten. IT-Verantwortliche sollten daher rasch prüfen, ob sie anfällige Versionsstände einsetzen.

Die US-amerikanische IT-Sicherheitsbehörde CISA warnt in einer Sicherheitsmitteilung vom Freitag vor den laufenden Angriffen. Dort nennt sie lediglich die attackierten Schwachstellen, nähere Informationen liefert sie nicht. Zu der missbrauchten Sicherheitslücke in BeyondTrust Remote Support hat die Behörde jedoch eine Anleitung mit näheren Informationen bereitgestellt. Betroffen ist demnach BeyondTrust Remote Support, zuvor als Bomgar bekannt, in der Version 26.2.3 und früheren. Der Hersteller bietet Updates für die Fassungen ab 24.3.1 an. Wer einen älteren Stand einsetzt, muss zunächst auf eine unterstützte Version aktualisieren, um den Patch installieren zu können.

Die verwundbaren BeyondTrust-Versionen überprüfen den Ursprung empfangener Nachrichten nicht angemessen, erklärt der zugehörige Schwachstelleneintrag CVE-2026-102764 (CVSS4 9.3, Risiko „kritisch“). Unter bestimmten, nicht genannten Bedingungen können Angreifer dadurch Dateioperationen auf den Appliances ausführen. Die CISA erklärt dazu, dass Angreifer die Lücke für den initialen Zugriff missbrauchen, sich im System festsetzen, ihre Rechte ausweiten und sich dann lateral weiter durchs Netzwerk bewegen.

In Fortinet-Produkten missbrauchen bösartige Akteure hingegen eine Path-Traversal-Schwachstelle. Betroffen davon sind FortiOS, FortiPAM, FortiProxy und FortiSwitchManager. Die Korrekturen enthalten FortiOS 7.6.5 und 7.4.10, FortiPAM 1.7.1, FortiProxy 7.6.5 und 7.4.12 sowie FortiSwitchManager 7.2.8 und 7.0.7 und jeweils neuer; Nutzer älterer Versionszweige müssen auf eine dieser Fassungen migrieren. Die Lücke ermöglicht den Angreifern nach Authentifizierung mit einem Admin-Profil und mindestens Lese- und Schreibrechten, beliebige Dateien mit Kommandozeilenbefehlen zu schreiben oder zu löschen (CVE-2025-61624, CVSS 6.5 laut NVD, 6.0 laut Fortinet, Risiko „mittel“). Während die CISA keine weiteren Informationen liefert, erklärt Palo Altos IT-Sicherheitsteam Unit 42 Details in einer Analyse einer Attacke auf einen Managed-Service-Telekommunikationsanbieter. Dort haben die Täter im September 2024 durch eine andere Schwachstelle in FortiManager (CVE-2024-47575, FortiJump) initialen Zugang erhalten und die jüngere Lücke am Ende zur Installation einer von Palo Alto „Peerstitch“ genannten Malware missbraucht. Die sei demnach neuartig, residiere ausschließlich im Speicher und sei auf die ARM64-Architektur zugeschnitten.

Nicht so ganz von der schnellen Eingreiftruppe ist die Meldung der CISA zu Angriffen auf mehrere Atlassian-Produkte vom Donnerstag. Dabei geht es um die Attacken auf eine am Montag vorvergangener Woche öffentlich gewordenen Sicherheitslücke (CVE-2026-21589), auf die zu dem Zeitpunkt der CISA-Warnung bereits seit einer Woche laufende Angriffe bekannt waren.

(dmk)