Firewall-Lücken bei WatchGuard, Cisco, Fortinet: Was Sie jetzt fragen sollten

Ende Oktober kamen innerhalb von gut einer Woche drei Meldungen zusammen, die viele kleine Betriebe betreffen. heise security berichtet über kritische Lücken in Firewalls von WatchGuard, über laufende Angriffe auf das SSL-VPN von Cisco und über dringende Updates außer der Reihe bei Fortinet. Geräte dieser Hersteller stehen oft genau dort, wo Ihr Firmennetz auf das Internet trifft.

Die Firewall und der VPN-Zugang, über den Sie und Ihre Mitarbeiter von zu Hause oder unterwegs arbeiten, sind die Tür ins Firmennetz. Wer diese Tür aufbekommt, ist dort, wo Ihre Server, Arbeitsplätze und Daten liegen. Trotzdem weiß in vielen Betrieben niemand genau, wann die Firewall zuletzt ein Update bekommen hat und wer dafür zuständig ist.

Was bei den drei Herstellern passiert ist

WatchGuard: viele Lücken, noch keine bekannten Angriffe

Das CERT-Bund, das Computer Emergency Response Team der Bundesverwaltung, warnt vor 18 Lücken bei WatchGuard. 17 davon betreffen Fireware OS, das Linux-basierte Betriebssystem der WatchGuard-Geräte, eine betrifft den VPN-Client für Windows. Sieben Lücken gelten als kritisch. Das CERT-Bund bewertet seine Warnung insgesamt mit dem Höchstwert 10,0.

Einige der Lücken können Angreifer aus dem Internet ohne Anmeldung ausnutzen. Sie können dann eigenen Code auf dem Gerät ausführen, teils mit höchsten Rechten, oder das Gerät lahmlegen. Mehrere Lücken greifen nur bei bestimmten Einstellungen, etwa mit aktiviertem Access Portal oder SIP-Proxy.

WatchGuard weiß nach eigenen Angaben noch von keinen Angriffen. heise security weist darauf hin, dass sich das schnell ändern kann. Die korrigierten Versionen sind Fireware OS 2026.4 oder 12.12.4, für die Modelle T15 und T35 die Version 12.5.22 und für den VPN-Client die Version 2026.4.

Cisco: Angriffe laufen bereits

Bei Cisco ist die Lage ernster. Angreifer nutzen eine Lücke im SSL-VPN der Firewalls Cisco ASA und Cisco FTD aus. Die US-Behörde CISA hat sie in ihren Katalog der bekannt ausgenutzten Schwachstellen aufgenommen. Die Lücke hat die Nummer CVE-2026-76418 und gilt als hohes Risiko.

Betroffen sind Geräte, bei denen für das VPN eine zusätzliche Anmeldung („secondary Authentication“) eingerichtet ist. Angreifer können beim Verbindungsaufbau manipulierte Anfragen schicken, die die Firewall neu starten lassen. Wie und in welchem Umfang angegriffen wird, ist laut heise security weitgehend unbekannt. Einen offiziellen Workaround gibt es nicht. Bestimmte Einstellungen helfen, schränken aber die Nutzer ein. Cisco hat für beide Produktlinien korrigierte Versionen veröffentlicht und empfiehlt, sie umgehend zu installieren.

Fortinet: dringende Updates, Details erst am 10. November

heise security berichtete am 22. Oktober, dass Fortinet außerplanmäßige Updates für FortiOS, FortiManager und FortiAnalyzer sowie neue Versionen von FortiAuthenticator und FortiMail angekündigt hat. Sie schließen kritische und hochriskante Lücken, die Fortinet mit Hilfe von KI-Modellen selbst gefunden hat. Für FortiOS sind es die Versionen 8.0.2, 7.6.8, 7.4.13 und 7.2.14 oder neuer.

Fortinet rät, die Updates umgehend einzuspielen und mit den Geräten anzufangen, die im Internet stehen. Wer das nicht sofort kann, soll den Verwaltungszugang per HTTPS und SSH auf vertrauenswürdige IP-Adressen beschränken oder an den Anschlüssen zum Internet ganz abschalten. Die Details zu den Lücken will Fortinet erst am Patchday am 10. November 2026 veröffentlichen. In derselben Woche waren außerdem Warnungen vor aktuellen Angriffen auf mehrere Fortinet-Produkte öffentlich geworden.

Warum Angreifer gerade auf diese Geräte zielen

Eine Firewall mit VPN-Zugang muss aus dem Internet erreichbar sein, sonst könnte sich niemand von außen verbinden. Damit kann sie aber auch jeder Angreifer ansprechen. heise security schreibt dazu: Weil Fortinet-Geräte meist als Firewall oder VPN-Gateway den Zugang zu Netzwerken kontrollieren, stehen Lücken darin bei Angreifern hoch im Kurs. Das gilt aus meiner Sicht für jedes Gerät an dieser Stelle, egal von welchem Hersteller.

Dazu kommt, was Fortinet selbst schreibt: Ein Update verrät, an welcher Stelle etwas geändert wurde. Mit KI-Werkzeugen können Angreifer daraus schneller einen funktionierenden Angriff bauen, nach Einschätzung von Fortinet in Stunden oder Tagen statt in Wochen. Die Zeit zwischen Update und Angriff wird also kürzer. Wer erst beim nächsten Wartungstermin in ein paar Monaten aktualisiert, ist in dieser Zeit angreifbar.

Warum Updates an der Firewall oft liegen bleiben

Bei Arbeitsplätzen sind regelmäßige Updates für die meisten Betriebe selbstverständlich geworden. Bei der Firewall ist das oft anders. Aus der Praxis kenne ich vor allem diese Gründe:

• Sie läuft unauffällig. Solange das Internet funktioniert, schaut niemand hinein.
• Niemand ist ausdrücklich zuständig. Die Firewall wurde einmal eingerichtet, manchmal von jemand anderem als dem heutigen Betreuer. Wer die Updates einspielt, steht nirgends.
• Ein Update muss geplant werden. Meist ist die Verbindung ins Internet dabei kurz unterbrochen.
• Nicht jedes Modell bekommt dasselbe Update. Bei WatchGuard gibt es für die Modelle T15 und T35 eine eigene Version, bei FortiMail sollen Nutzer der Reihe 7.2 auf 7.4 oder neuer wechseln. Wer Modell und Version nicht kennt, kann solche Hinweise nicht einordnen.

Auch der VPN-Client auf den Laptops gehört dazu. Bei WatchGuard betrifft eine der Lücken genau diesen Client für Windows. Das Update muss dann auf jedem Gerät ankommen, das ihn nutzt.

Was Sie jetzt tun können

Sie müssen die Firewall nicht selbst aktualisieren. Sie sollten aber wissen, wer es tut und wann es zuletzt passiert ist. Diese Fragen können Sie Ihrem IT-Dienstleister heute stellen.

Lassen Sie sich die Antworten schriftlich geben, eine Mail reicht. Dann wissen Sie auch später noch, wer was geprüft hat. Wenn bei Ihnen ein Gerät von Fortinet steht, fragen Sie nach dem 10. November noch einmal nach. Dann will Fortinet die Details veröffentlichen, und Ihr Dienstleister kann prüfen, ob weitere Schritte nötig sind.

Kann Ihnen niemand sagen, wer für die Firewall zuständig ist, ist das auch eine Antwort. Dann sollten Sie das jetzt klären und nicht erst, wenn die nächste Warnung kommt.