Picus Security analysiert FortiWeb-Schwachstelle für Remote Code Execution
Picus Security hat die kritische FortiWeb CVE-2025-64446-Schwachstelle analysiert, die Remote Code Execution ermöglicht. Angreifer können ohne Authentifizierung administrative Kontrolle erlangen.
Das Cybersicherheitsunternehmen Picus Security hat eine Analyse der kritischen FortiWeb CVE-2025-64446-Schwachstelle veröffentlicht, die die Ausführung von Remote-Code ermöglicht und dringende Maßnahmen erfordert.
Die Schwachstelle, die in einer Sicherheitsmitteilung von Fortinet vom 14. November 2025 beschrieben wird, betrifft mehrere Versionen der FortiWeb Web Application Firewalls (WAF). Laut Picus Security resultiert das Problem aus einer fehlerhaften Anfragerouting- und Authentifizierungslogik, die es nicht authentifizierten Angreifern ermöglicht, Befehle mit administrativen Rechten auszuführen.
Mit einer CVSS-Bewertung von 9.8 wird die Schwachstelle als kritisch eingestuft. Sowohl die U.S. Cybersecurity and Infrastructure Security Agency (CISA) als auch Fortinet haben bestätigt, dass die Lücke aktiv ausgenutzt wird. Organisationen, die anfällige FortiWeb-Appliances betreiben, wird dringend empfohlen, umgehend Patches zu installieren oder Abhilfemaßnahmen zu ergreifen.
Picus Securitys Analyse beschreibt, wie der Exploit zwei Schwächen kombiniert: eine relative Pfadüberwindung, die die normale API-Verarbeitung umgeht, und ein fehlerhaft verarbeiteter HTTP-Header, der die Übernahme einer Administratorrolle ohne Authentifizierung ermöglicht. Diese Kombination gewährt Angreifern die vollständige Kontrolle über administrative Befehle.
Das Unternehmen bietet auch Werkzeuge zur Simulation der Schwachstelle und zur Überprüfung bestehender Sicherheitskontrollen an. Die Picus Security Platform ermöglicht es Organisationen, ihre Abwehrmaßnahmen zu testen und umsetzbare Einblicke für Abhilfemaßnahmen zu erhalten.