FortiOS 7.2 endet am 30. September — dein Support ist seit März 2025 vorbei

In deiner Lifecycle-Tabelle steht der 30. September 2026. Das Datum, das zählt, war der 31. März 2025. An diesem Tag endete für FortiOS 7.2 die Engineering-Unterstützung. Seither behebt Fortinet in diesem Zweig keine gewöhnlichen Fehler mehr — nur noch das, was als kritisch oder als PSIRT-Fall durchgeht. Wer nur mit dem 30. September plant, beginnt die Migration achtzehn Monate zu spät.

Fortinet veröffentlicht zwei Enddaten, nicht eines

Die meisten Hersteller nennen ein Support-Ende. Fortinet nennt zwei, und dazwischen liegen achtzehn Monate. End of Engineering Support (EoES) fällt auf den GA-Termin eines Zweigs plus 36 Monate. Danach folgt eine „Must Fix“-Phase von weiteren 18 Monaten, an deren Ende das End of Support (EOS) steht — so rechnet es Fortinets Lifecycle-Beschreibung vor.

Was in diesen achtzehn Monaten passiert, ist der eigentliche Punkt. Fortinets eigene TAC-Beschreibung sagt: Wird nach EoES ein Softwareproblem in dem Zweig bestätigt, wird es dort nicht mehr behoben — ausgenommen kritische Fehler und PSIRT-Schwachstellen (Quelle). Der Zweig läuft also weiter, aber er wird nicht mehr repariert, sondern nur noch abgedichtet. Ab EOS entfällt auch das: kein Ticket, kein Patch, keine Zusage.

Acht Zweige, zwei Spalten

Vier der acht Zweige sind bereits über ihr EOS hinaus; 7.2 hat noch 42 Tage (Stand: 19.08.2026). Zwei Zeilen tragen dabei Zahlen, die jünger sind, als sie aussehen: Fortinet hat 7.4 und 7.6 im März 2026 per Bulletin CSB-260330-1 um je ein Jahr verlängert — 7.4 auf EoES 11.05.2027 und EOS 11.11.2028, 7.6 auf EoES 25.07.2028 und EOS 25.01.2030 (Ankündigung). Wer sich vor einem Jahr eine solche Tabelle ins Wiki kopiert hat, liest dort heute falsche Zahlen. Für 7.2 gab es keine solche Verlängerung.

Das Gerät zieht sich selbst hoch — deines aber nicht

Seit FortiOS 7.4.8 und 7.6.4 aktualisiert sich eine FortiGate in zwei Fällen von allein auf den neuesten Patch ihrer laufenden Minor-Version: wenn die Firmware-Lizenz (FMWR) ungültig ist, oder wenn die laufende Minor-Version EoES erreicht hat (Administrationshandbuch). Das Gerät fragt FortiGuard täglich; trifft eine der Bedingungen zu und liegt ein neuer Patch bereit, plant es das Upgrade ein. Abbrechen lässt es sich nicht. Die Dokumentation nennt genau einen Hebel: execute auto-upgrade delay-installation schiebt die Installation um feste sieben Tage, beliebig oft — nur nicht am Tag des geplanten Laufs. Der Sprung bleibt dabei innerhalb der Minor-Version: Aus 7.4.10 wird das neueste 7.4.x, nie 7.6.x.

Ein Gerät auf 7.2 tut das alles nicht. Die Pflicht beginnt bei 7.4.8 und 7.6.4. Ausgerechnet der Zweig, der die Selbsthilfe am nötigsten hätte, hat sie nicht — 7.2 bleibt liegen, bis jemand hingeht. Das Spiegelbild ist ähnlich unangenehm: Wer 7.4.8 oder neuer fährt und den Vertrag hat auslaufen lassen, dessen Firewall rebootet womöglich von selbst, mit einer Mail an den registrierten FortiCare-Account hinterher. Ein Wartungsfenster hat dafür niemand vereinbart.

Was für das eigene Gerät gilt, klärt ein Befehl: execute auto-upgrade status zeigt Current Image Reached End of Life, den Support Contract Status und, falls geplant, das Zeitfenster des erzwungenen Laufs. Vier Zustände setzen die Automatik außer Kraft — ein Special Build, die Mitgliedschaft in der Security Fabric, eine Verbindung zum FortiManager, die einen bereits geplanten Pflichtlauf sogar zurücknimmt, und die Secondary eines HA-Paars, die das Upgrade über die Primary bekommt.

Die LTS-Zeile ist keine Verlängerung für dich

In Fortinets Lifecycle-Tabelle trägt 7.2 die Kennzeichnung Long Term Support mit einem Extended End of Support am 31.03.2028 (PSIRT-Hinweis). Das liest sich wie anderthalb geschenkte Jahre. Es sind anderthalb Jahre für Kunden mit aktivem FortiCare-Elite-Vertrag; Essential und Premium sind ausdrücklich nicht berechtigt, LTS-Aktualisierungen nach dem regulären EOS zu beziehen (Quelle). Fortinet weist zusätzlich darauf hin, dass es problematisch ist, Elite nachträglich zu kaufen, um sich die verlängerte Phase zu sichern, und dass dann womöglich gar kein Upgrade-Pfad mehr auf die LTS-Firmware führt (Quelle). Für die meisten Betriebe gilt damit schlicht der 30. September 2026.

Warum das bei einer Firewall schwerer wiegt

patchletter führt für FortiOS 15 Einträge aus dem CISA-Katalog bekannter ausgenutzter Schwachstellen (Stand: 19.08.2026) — also Lücken, deren Ausnutzung beobachtet wurde, nicht bloß denkbar ist. Zwölf davon tragen CISAs Ransomware-Vermerk, drei stehen seit dem 03.11.2021 im Katalog, der jüngste kam am 27.07.2026 dazu. Diese Einträge gelten dem Produkt FortiOS, nicht einem einzelnen Zweig; welche Versionen betroffen sind, steht jeweils im Fortinet-PSIRT-Advisory. Die Größenordnung sagt trotzdem etwas: Ein Gerät, das seit März 2025 nur noch Sicherheitskorrekturen bekommt und ab Oktober auch die nicht mehr, steht in genau der Produktklasse, in der nachweislich und wiederholt eingebrochen wird.

Was vor dem 30. September zu klären ist

• Den Stand feststellen. get system status nennt Version und Build, diagnose test update info den Vertragszustand.
• Den Upgrade-Pfad ziehen, nicht raten. Fortinets Upgrade Path Tool nennt die Zwischenschritte; ein Sprung daran vorbei kann Konfiguration, Fernzugriff oder die HA-Synchronisierung kosten.
• Den Vertrag vor dem Sprung prüfen. Ist der Supportvertrag abgelaufen, erlaubt FortiOS nur höhere Patch-Stände innerhalb derselben Minor-Version — 7.2.11 auf 7.2.13 ja, 7.2 auf 7.4 nein (Quelle).
• Die Geräte aussortieren, die nicht mitkommen. Für manche ältere Plattform gibt es die neueren Zweige gar nicht. Fortinets eigene Antwort darauf ist keine Ausnahmeregel, sondern der Rat, das Gerät durch ein passendes Modell zu ersetzen (Quelle). Das ist ein Beschaffungsthema, kein Wartungsfenster.

Aus dem erzwungenen Upgrade folgt noch etwas: Wenn die Box sich unter Umständen selbst auf den neuesten Patch zieht, willst du wissen, welcher das ist, bevor sie es dir sagt. patchletter verfolgt die FortiOS-Releases auf der Produktseite zu FortiOS — hakst du das Produkt an, kommt eine Mail, sobald eine neue Version erscheint. Die Support-Zyklen aus der Tabelle oben stehen auf derselben Seite, die ausgenutzten Schwachstellen auf der CVE-Seite. Kostenlos, ohne Konto, Abmeldung mit einem Klick.

Die ehrliche Einschränkung

Lifecycle-Daten sind keine Naturkonstanten — der Beweis steht in der Tabelle oben, wo 7.4 und 7.6 im März 2026 ein Jahr geschenkt bekamen. Ob 7.2 dasselbe widerfährt, weiß niemand außerhalb von Fortinet; das Bulletin nannte ausdrücklich nur die beiden anderen Zweige. Plane mit dem 30. September und freue dich, falls es anders kommt. Und: patchletter meldet neue Versionen, keine Support-Enden. Die Zyklen sind nachzulesen, aber es klingelt kein Wecker.

Zyklenzahl und KEV-Werte aus dem eigenen Bestand, Stand: 19.08.2026 — acht FortiOS-Zweige, 15 Einträge im CISA-KEV-Katalog, davon 12 mit Ransomware-Vermerk. Die EoES-Spalte stammt von endoflife.date, abgerufen am 19.08.2026. Lifecycle-Definitionen, Verhalten beim erzwungenen Upgrade, LTS-Bedingungen und die Verlängerung für 7.4 und 7.6 stammen aus Fortinets eigener Dokumentation, oben verlinkt und am 19.08.2026 abgerufen. Maßgeblich bleibt Fortinets Product-Life-Cycle-Seite.