Exploit für kritische FortiWeb-Lücke veröffentlicht

Fortinet hat am Donnerstag ein wichtiges Sicherheitsupdate für seine FortiWeb-Produkte veröffentlicht. Grund ist eine kritische SQL-Injection-Lücke (CVE-2025-25257, CVSS 9.6), die es Angreifern erlaubt, aus dem Internet heraus beliebigen Code auszuführen – und zwar ohne vorherige Authentifizierung. Erste Proof-of-Concept-Exploits sind bereits im Umlauf.

IT-Forscher von Watchtowr und ein weiterer Sicherheitsforscher mit dem Pseudonym „faulty *ptrrr“ zeigen in detaillierten Analysen, wie sich die Lücke ausnutzen lässt – unter anderem durch Missbrauch von SQL-Befehlen wie INTO OUTFILE. Besonders brisant: Auf betroffenen FortiWeb-Systemen läuft der MySQL-Dienst offenbar mit Root-Rechten.

Admin-Teams wird dringend geraten, betroffene FortiWeb-Versionen umgehend zu patchen. Updates stehen für Versionen ab 7.0.11 zur Verfügung. Angriffe dürften angesichts verfügbarer Exploits nur eine Frage der Zeit sein.