close notice<\/p>\n
\n This article is also available in It was translated with technical assistance and editorially reviewed before publication.\n <\/p>\n \n Don\u2019t show this again.\n<\/p>\n Fortinet bezeichnet es nicht so, hat aber einen Patchday<\/a> im April veranstaltet: Das Unternehmen ver\u00f6ffentlicht 18 Sicherheitswarnungen zu diversen Produkten geb\u00fcndelt an einem Tag. Einige davon stuft Fortinet als kritisches Risiko ein.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n Eine unzureichende Filterung von Elementen, die in einem Befehl ans Betriebssystem von FortiSandbox<\/a> verwendet werden, erm\u00f6glicht Angreifern ohne Authentifizierung das Ausf\u00fchren von nicht autorisiertem Code oder Befehlen mittels manipulierter HTTP-Anfragen (CVE-2026-39808, CVSS 9.1, Risiko \u201ekritisch\u201c). Zudem k\u00f6nnen b\u00f6sartige Akteure an einer Path-Traversal-Schwachstelle in der JRPC-API von FortiSandbox<\/a> ansetzen, um mit sorgsam pr\u00e4parierten HTTP-Anfragen die Authentifizierung zu umgehen (CVE-2026-39813, CVSS 9.1, Risiko \u201ekritisch\u201c). Betroffen sind die FortiSandbox-Versionszweige 4.4 und 5.0, die Fassungen 4.4.9 sowie 5.0.6 oder neuere bessern die Schwachstelle aus. <\/p>\n Fortinet: Auch hochriskante Sicherheitsl\u00fccken entdeckt<\/p>\n In FortiDDoS-F 7.2.1 und 7.2.2 k\u00f6nnen angemeldete Angreifer<\/a> eine SQL-Injection-Schwachstelle zum Einschleusen beliebiger SQL-Befehle mit manipulierten HTTP-Anfragen missbrauchen (CVE-2026-39815, CVSS 7.9, Risiko \u201ehoch\u201c). Version 7.2.3 und neuer korrigieren das. Angreifer aus dem Netz k\u00f6nnen au\u00dferdem ohne vorherige Authentifizierung mit speziell pr\u00e4parierten Anfragen im oftpd-Daemon von FortiAnalyzer Cloud und FortiManager Cloud 7.6<\/a> einen Heap-basierten Puffer\u00fcberlauf provozieren und in dessen Folge Schadcode oder beliebige Befehle einschleusen (CVE-2026-22828, CVSS 7.3, Risiko \u201ehoch\u201c). Die Version 7.6.5 oder neuere bessern das aus.<\/p>\n FortiClient EMS filtert bestimmte Elemente, die in SQL-Befehlen<\/a> genutzt werden, unzureichend und rei\u00dft damit eine SQL-Injection-L\u00fccke auf. Das k\u00f6nnen authentifizierte Angreifer zum Absetzen beliebiger SQL-Abfragen mit manipulierten Anfragen missbrauchen (CVE-2026-39809, CVSS 7.1, Risiko \u201ehoch\u201c). FortiClient EMS 7.0 muss zum Schlie\u00dfen der L\u00fccke auf unterst\u00fctzte Softwarest\u00e4nde migriert werden, die Fassungen 7.2.13 sowie 7.4.6 und neuere stopfen das Leck.<\/p>\n Fortinet hat noch zahlreiche weitere Sicherheitsl\u00fccken<\/a> in mehreren Produkten geschlossen. Deren Risiko stuft das Unternehmen jedoch als mittel oder niedrig ein. Admins mit Fortinet-Produkten in ihrer Umgebung sollten pr\u00fcfen, ob sie verwundbare Softwarest\u00e4nde einsetzen, und die bereitstehenden Updates anwenden.<\/p>\n
\n English<\/a>.<\/p>\n