Laut heise online warnt die US-Sicherheitsbehörde CISA vor laufenden Angriffen auf Sicherheitslücken in Fortinet-Produkten und in BeyondTrust Remote Support. Die Schwachstellen werden demnach bereits in der Praxis ausgenutzt und sind nicht nur ein theoretisches Risiko. Die Kurzmeldung nennt keine weiteren Einzelheiten, etwa zu betroffenen Versionen.

Warum solche Warnungen ernst zu nehmen sind

Produkte von Fortinet kommen in Unternehmen oft an zentralen Stellen des Netzwerks zum Einsatz, zum Beispiel als Firewall oder als Zugang für Fernzugriffe. BeyondTrust Remote Support ist eine Software für die Fernwartung: Support-Teams steuern damit Rechner und Server aus der Ferne.

Beide Produktarten haben weitreichende Rechte und sind häufig aus dem Internet erreichbar. Deshalb sind sie für Angreifer attraktiv. Gelingt es, eine Lücke auszunutzen, kann das ein Einstieg ins interne Netz sein. Ob und wie weit das im Einzelfall geht, hängt von der konkreten Schwachstelle und der Konfiguration ab.

Wenn eine Behörde wie die CISA vor aktiven Angriffen warnt, ist das ein Signal für Eile. Es reicht dann nicht mehr, Updates im normalen Wartungsfenster einzuplanen.

Was Administratoren prüfen können

Die folgenden Schritte sind allgemeine Empfehlungen und ersetzen nicht die Hinweise der Hersteller:

  • Bestand klären: Welche Fortinet-Geräte und welche BeyondTrust-Installationen sind im Einsatz, und in welchem Versionsstand?
  • Herstellerhinweise lesen: Die Sicherheitsmeldungen der Hersteller und die Hinweise der CISA nennen die betroffenen Versionen und die passenden Updates.
  • Updates priorisieren: Verfügbare Patches für aus dem Internet erreichbare Systeme sollten zuerst eingespielt werden.
  • Zugriff begrenzen: Verwaltungsoberflächen und Fernwartungsdienste sollten nur für die nötigen Adressen erreichbar sein. Lässt sich ein Patch nicht sofort einspielen, können die vom Hersteller genannten Übergangsmaßnahmen helfen.
  • Protokolle auswerten: Ungewöhnliche Anmeldungen, neue Konten oder unerwartete Verbindungen können auf einen bereits erfolgten Angriff hindeuten.

Gerade der letzte Punkt wird leicht vergessen. Ein Update schließt die Lücke, entfernt aber nicht automatisch einen Zugang, den Angreifer zuvor angelegt haben.

Einordnung

Die Meldung von heise online ist knapp gehalten. Wer die betroffenen Produkte betreibt, sollte deshalb die Originalquellen der Hersteller und der CISA heranziehen, um zu klären, ob die eigenen Systeme betroffen sind.