Ransomware kommt durchs SSL-VPN — vier Hersteller im Vergleich

Von 33 nachweislich ausgenutzten Schwachstellen auf vier Perimeter-Produkten tragen 21 CISAs Ransomware-Kennzeichnung. Keine Hochrechnung und kein Bedrohungsbericht, sondern eine Liste von Türen, durch die tatsächlich jemand gegangen ist. Alle vier Produkte stehen zwischen dem Internet und allem anderen.

Woher die Zahlen stammen

Grundlage ist der CISA-Katalog bekannter ausgenutzter Schwachstellen (KEV), abgeglichen mit dem eigenen Bestand, Stand: 19.08.2026. Der Katalog hat eine Aufnahmebedingung, die keine andere Liste stellt: Die Ausnutzung muss beobachtet sein, nicht denkbar. Das sind ausdrücklich nicht „alle CVEs“ dieser Produkte, und es ist eine Momentaufnahme — der Katalog wächst fast jede Woche, die Zahlen hier werden bewusst nicht nachgezogen. Den laufenden Stand zeigt die CVE-Seite.

Die vier nebeneinander

Die letzte Spalte ist die interessante: der Abstand, den CISA zwischen der Aufnahme eines Eintrags und dem Termin lässt, bis zu dem US-Bundesbehörden ihn behoben haben müssen. FortiOS hat sich zweimal sieben Tage eingehandelt, zuletzt für CVE-2024-55591 (aufgenommen am 14.01.2025, Frist 21.01.2025), PAN-OS und FortiClient EMS im Frühjahr 2026 je drei. Die fünf ältesten FortiOS-Einträge dieser Menge, darunter die SSL-VPN-Lücken von 2018, kamen mit 181 Tagen. Gleicher Hersteller, gleiche Liste — das Fenster ist von einem halben Jahr auf drei Tage geschrumpft.

Die Frist sagt mehr als der Schweregrad

Seit dem 10.06.2026 richten sich diese Fristen nach BOD 26-04, die die ältere BOD 22-01 abgelöst hat. Die Frist ergibt sich aus vier Fragen: Ist das System öffentlich erreichbar, steht die Lücke im KEV-Katalog, lässt sich der Angriff automatisieren, und verschafft er teilweise oder vollständige Kontrolle. Die härteste Stufe sind drei Tage, und sie verlangt zusätzlich zum Patch eine forensische Erstsichtung des Geräts. Für dich gilt davon nichts, es gilt für US-Bundesbehörden. Aber eine Drei-Tage-Frist auf einem Gerät, das vom Internet aus erreichbar ist, ist ein besseres Signal als jeder Basiswert.

Das ist hier relevant, weil der Wert nicht immer da ist: Alle drei SonicOS-Einträge stehen in unseren Daten ganz ohne Schweregrad. Das ist kein Freispruch — die NVD führt für CVE-2024-53704 den Wert 9.8 von 10. Die Lücke sitzt in unserer Kette, nicht in der Schwachstelle, und genau darin liegt der Punkt: Jedes Verfahren, das nach CVSS sortiert, lässt stillschweigend liegen, was keine Zahl trägt.

Was hier angegriffen wird — und was nicht

Die drei Einträge unter FortiClient betreffen nicht den Agenten auf dem Notebook. Alle drei gehören zu FortiClient EMS, dem Management-Server. Zu CVE-2026-35616 schreibt Fortinet in FG-IR-26-099, die Ausnutzung sei in freier Wildbahn beobachtet worden, und verweist EMS 7.4.5 und 7.4.6 auf einen Hotfix. Wer den Agenten ausrollt, aber kein EMS betreibt, ist in dieser Zeile nicht gemeint. Wer EMS betreibt und dessen Weboberfläche erreichbar hält, hat ein Perimeter-Gerät, das er womöglich nicht als solches führt.

Bei FortiOS lohnt dieselbe Sorgfalt. CVE-2024-55591 ist keine SSL-VPN-Lücke: Fortinet beschreibt sie in FG-IR-24-535 als Umgehung der Anmeldung an der Verwaltungsoberfläche, und der Behelf besteht darin, genau diese Oberfläche einzuschränken. Das SSL-VPN taucht als Ausgang auf, nicht als Eingang — der dokumentierte Ablauf war, ein lokales Konto anzulegen, es einer SSL-VPN-Gruppe hinzuzufügen und sich damit einen Tunnel ins interne Netz zu holen.

Was du heute am Gerät nachsiehst

• FortiGate: nicht nur die Version, auch die lokalen Konten in den SSL-VPN-Gruppen — ein Update entfernt das oben beschriebene Konto nicht.
• PAN-OS: CVE-2026-0257 greift nur, wenn Authentication-Override-Cookies aktiv sind. Für Portale nennt Palo Alto den Pfad: Network, GlobalProtect, Portals, dein Portal, Reiter Agent, deine Agent-Konfiguration, Reiter Authentication.
• SonicOS: Wenn das Gerät je eine verwundbare Firmware hatte, ist das Update nur die halbe Arbeit. CISAs Akira-Advisory nennt CVE-2024-40766 als Weg für den Erstzugang, und SonicWall verlangt im eigenen Hinweis zur SSL-VPN-Bedrohungslage, die Passwörter aller lokalen Konten mit SSL-VPN-Zugang zurückzusetzen — vor allem die bei der Migration von Gen 6 auf Gen 7 übernommenen. Zugangsdaten, die vor dem Patch abgegriffen wurden, funktionieren danach weiter.

Eine Frage erledigt gleich mehrere Einträge: Zu CVE-2025-68686 hält Fortinet fest, dass Geräte, auf denen SSL-VPN nie aktiviert war, überhaupt nicht betroffen sind. Und die Antwort wird mit dem Alter schlechter — in FG-IR-25-934 nennt Fortinet für 7.6 und 7.4 eine Zielversion, für 7.2, 7.0 und 6.4 dagegen nur noch: auf eine korrigierte Version migrieren. Für diese Linien gibt es keinen Patch, sondern ein Projekt. Welche Versionslinien zuerst auslaufen, steht in der End-of-Life-Übersicht.

Die ehrliche Einschränkung

Einträge zu zählen ist nicht dasselbe wie Risiko zu messen. Fünfzehn Einträge bei FortiOS gegen drei bei SonicOS machen FortiOS nicht zur gefährlicheren Kiste — es kann genauso gut heißen, dass mehr Leute hinsehen und der Hersteller sauberer meldet. SonicOS hat nur drei Einträge, und einer davon ist der Weg für den Erstzugang in CISAs Akira-Advisory. Auch die Schweregrade widersprechen sich: Unsere Daten führen CVE-2026-0257 als kritisch mit 9.1, während Palo Alto dieselbe Lücke mit 7.8 bewertet und die Dringlichkeit als höchste einstuft.

Wenn eines dieser vier Produkte bei dir läuft, hilft nicht, diesen Text in einem halben Jahr noch einmal zu lesen, sondern eine Mail, sobald die nächste Version erscheint: FortiOS, PAN-OS, SonicWall SonicOS und FortiClient. Kostenlos, ohne Konto, Abmeldung mit einem Klick.

patchletter-Zahlen aus dem eigenen Bestand, Stand: 19.08.2026 — 33 KEV-Einträge über FortiOS (15), PAN-OS (12), SonicWall SonicOS (3) und FortiClient (3), davon 21 mit CISAs Ransomware-Kennzeichnung. Fristen und Ausnutzungsbeleg aus dem CISA-KEV-Katalog, die Fristenlogik aus BOD 26-04 vom 10.06.2026. Hersteller-Aussagen aus Fortinet PSIRT FG-IR-24-535, FG-IR-25-934 und FG-IR-26-099, von Palo Alto Networks zu CVE-2026-0257, von SonicWall zur SSL-VPN-Bedrohungslage sowie aus CISA-Advisory AA24-109A; alle abgerufen am 19.08.2026. Es sind die Zahlen dieses Tages und sie bleiben bewusst stehen.