WASHINGTON / LONDON (IT BOLTWISE) – CISA warnt Fortinet-Kunden vor der laufenden Kampagne „FortiBleed“, bei der Angreifer zehntausende internetzugängliche FortiGate-VPN- und Firewall-Endpoints mit gültigen Zugangsdaten angreifen. Stand 19. Juni 2026 sollen 86.644 Geräte betroffen sein. Laut SOCRadar entfallen große Teile der Kompromittierungen auf nicht umbenannte Default-Admin-Accounts sowie auf eingebaute Fortinet-Systemkonten. Besonders kritisch: Die Täter erweitern ihren Bestand an Credentials über passives Monitoring und automatisieren damit den nächsten Wellenangriff.
Die Warnung der US-Behörde CISA wirkt wie ein Weckruf für Betreiber von Perimeter-Sicherheitsprodukten: Bei „FortiBleed“ handelt es sich offenbar um eine groß angelegte Kampagne, die gezielt internetzugängliche FortiGate-Systeme trifft. Nach aktuellen Zählungen sind 86.644 Geräte kompromittiert, Stand 19. Juni 2026. Auffällig ist dabei weniger der reine Umfang als die Qualität der Vorgehensweise: Die Angreifer starten nicht primär mit zufälligem Rätselraten, sondern greifen auf bereits „funktionierende“ Zugangsdaten zu und validieren sie vor der weiteren Nutzung. Das verschiebt den Fokus von reiner Schwachstellenanalyse hin zu Credential-Hygiene, Konfigurationsdisziplin und harten Zugriffskontrollen.
Technisch beschreibt CISA den Kern des Angriffs als einen automatisierten, zweistufigen Kreislauf. Zunächst scannen die Täter das Internet nach Fortinet-Remote-Login-Endpunkten und testen die gefundenen Ziele mit einer kuratierten Liste bekannter Login- und Passwortkombinationen. Sobald ein Zugriff gelingt, beobachten sie passiv den Durchsatz des Netzverkehrs durch die betroffenen Geräte, um zusätzliche Zugangsdaten abzuleiten. Diese neuen Credentials fließen dann in eine wachsende Datenbasis ein, die wiederum weitere Geräte kompromittiert. Genau diese „self-sustaining“-Dynamik erklärt, warum sich solche Kampagnen über Tage oder Wochen fortsetzen, selbst wenn einzelne Exploit-Folgen gestoppt werden.
Besonders wichtig für die Verteidigung ist die Credential-Schicht. Wie aus Analysen verschiedener Security-Teams hervorgeht, spielt die Art, wie FortiGate Administratorpasswörter gehasht werden, eine Rolle. Fortinet führte laut Berichten PBKDF2-basierte Passwortableitungen für Administrator-Credentials in bestimmten FortiOS-Versionen ein und ersetzte damit ältere SHA-256-basierte Speichermechanismen. Entscheidend ist jedoch der Upgrade-Kontext: Beim Wechsel von älteren Versionen bleiben bestehende Administratorpasswörter häufig weiterhin als SHA-256-Hashes gespeichert, bis sich der entsprechende Admin nach dem Upgrade erfolgreich anmeldet. In der Praxis bedeutet das, dass Unternehmen trotz Aktualisierung nicht automatisch „aufgeräumt“ haben, wenn sie nicht die konkrete Hash-Transformation nachvollziehen.
Im Marktkontext wird damit ein wiederkehrendes Muster sichtbar: Perimeter-Appliances sind für Angreifer besonders attraktiv, weil sie als Gatekeeper in Unternehmensnetze wirken und häufig zentrale Admin-Interfaces bündeln. Das gilt nicht nur für Fortinet, sondern auch für andere Anbieter wie Palo Alto Networks oder Check Point, die ebenfalls Firewalls, VPN-Gateways und zentrale Authentifizierungskomponenten in vielen Umgebungen betreiben. Branchenexperten beobachten, dass Credential-Stuffing und Brute-Force-ähnliche Angriffe nicht mehr allein auf „fehlende Updates“ setzen, sondern auf die Realitätsnähe menschlicher Einstellungen: Default-Namen, zu lange Lebenszyklen von Passwörtern und mangelnde Rotation liefern Angreifern sofort nutzbare Zugriffsmöglichkeiten. Die Kompromittierung gewinnt dadurch ihren Geschwindigkeitsvorteil.
Auch die Datenlage zu den kompromittierten Konten unterstreicht diese These. Laut SOCRadar stellen generische Admin-Konten (35%) und eingebaute Fortinet-Systemkonten (28,3%) den Großteil der gefundenen Credentials. Organisation-spezifische Konten machen weitere 36,7% aus, was auf ein zweites Versagen hinweist: Selbst individuell erstellte Konten werden häufig nur unzureichend gepflegt, etwa weil Passwörter aus früheren Vorfällen wiederverwendet wurden oder weil nach Rollout/Transition keine konsequente Änderung erfolgte. In einem aktuellen Fazit wird genau dieses Zusammenspiel betont: Wo Default- oder Werkseinstellungen nicht bereinigt werden, erhalten Angreifer eine verlässliche Zielmenge, ohne erst teure Brute-Force-Mechanik starten zu müssen.
Für Unternehmen entsteht daraus eine klarere Priorisierung als bei reinen „Patch-Readiness“-Checklisten. CISA empfiehlt unter anderem, alle aktiven SSL-VPN- und administrativen Sessions sofort zu beenden, VPN- und Administratorkennwörter zurückzusetzen und besonders auf internet-facing Systeme zu fokussieren. Ergänzend fordert die Behörde die konsequente Durchsetzung starker Passwortregeln und die Entfernung schwächerer Legacy-Hash-Mechanismen. Darüber hinaus sollen Betreiber Protokolle aus Firewall-, VPN-, Authentifizierungs- und Domain-Controller-Umgebungen überprüfen und verdächtige Aktionen, inklusive unautorisierter Konfigurationsänderungen, nachverfolgen. Der Angriff ist im Kern ein Identitätsproblem, daher muss auch das Monitoring identitätsnah arbeiten.
Entscheidend ist außerdem der Schutz der Zugriffspflege in Richtung phishing-resistenter Multi-Faktor-Authentifizierung. Wenn Angreifer gültige Passwörter besitzen, reduzieren klassische Faktoren oft nur den Erfolgsgrad; ein zweiter Schritt, der durch Social Engineering oder Token-Abgriffe leicht umgangen werden kann, ist für die nächste Welle weniger wirksam. CISA fordert daher MFA auf externen Gateways und administrativen Schnittstellen sowie die Reduktion der Angriffsfläche durch konsequentes Lockdown der Management-Interfaces. Historisch zeigt sich, dass solche Kampagnen oft entdeckt werden, nachdem Sicherheitsforscher eine Datenbasis mit bereits getesteten Logins gefunden haben und darauf ableiten, dass die Täter Automatisierung und Validierung systematisch einsetzen.
In der Zukunft wird FortiBleed vor allem als Beleg dienen, dass „Credential reuse“ und fehlende Passworthygiene längst zu einem strukturellen Risiko geworden sind. Für die nächsten Monate ist zu erwarten, dass Anbieter und Enterprises stärker in Richtung automatisierter Sicherheitsgates bei der Kontenverwaltung gehen: etwa durch Policy-as-Code, erzwungene Passwort- und Token-Rotation sowie regelmäßige Überprüfung, ob Hashing-Standards tatsächlich in der praktischen Gerätekonfiguration greifen. Entwickler und Betreiber sollten außerdem die Segmentierung und rollenbasierte Zugriffsmodelle überdenken, damit ein kompromittiertes Perimeter-Gerät nicht automatisch zu einem breiteren lateralen Bewegungsraum wird. Gleichzeitig bleibt der Wettlauf mit dem „Scan-and-try“-Ökosystem eng: Wer Management-Zugriffe reduziert und verifizierbar migriert, senkt die Wahrscheinlichkeit, dass die nächste Angriffsphase bereits mit funktionierenden Zugangsdaten startet.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CISA warnt Fortinet-Kunden: FortiBleed kompromittiert tausende FortiGate-Geräte" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CISA warnt Fortinet-Kunden: FortiBleed kompromittiert tausende FortiGate-Geräte" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CISA warnt Fortinet-Kunden: FortiBleed kompromittiert tausende FortiGate-Geräte« bei Google Deutschland suchen, bei Bing oder Google News!