Samsung erweitert Galaxy AI-Ökosystem
23/02/2026
UN warnt vor KI-Machtkonzentration
24/02/2026
Ein massiver Cyberangriff hat sich über den Globus ausgebreitet und mehr als 600 FortiGate-Sicherheitsgeräte in 55 Ländern getroffen. Hacker nutzten KI-Tools wie ChatGPT, um ihre Arbeit zu beschleunigen und verwandelten das, was einst Tage dauerte, in wenige Stunden. Sie nutzten eine schwerwiegende Schwachstelle namens CVE-2026–24858 aus und umgingen dabei vollständig den Passwortschutz. Dies markiert eine beunruhigende Wende : Künstliche Intelligenz hilft Kriminellen nun dabei, schneller und effektiver einzubrechen. Die Frage ist nicht, ob Ihr Netzwerk das nächste sein könnte, sondern ob Sie überhaupt wüssten, wenn es bereits passiert wäre.
CVE-2026–24858 : Die FortiOS Zero-Day-Schwachstelle, die über 600 Geräte kompromittierte
Ein schwerwiegender Sicherheitsfehler erschütterte die Cybersicherheitswelt im Januar 2026, als Hacker einen Weg entdeckten, Fortinets Verteidigungsmaßnahmen zu umgehen. Das Problem, bezeichnet als CVE-2026–24858, erhielt eine kritische Bewertung von 9,8 von 10 Punkten. Diese Authentifizierungsschwachstelle ermöglichte es böswilligen Akteuren, FortiClouds Anmeldesystem vollständig zu umgehen. Sie benötigten keine gestohlenen Passwörter oder spezielle Werkzeuge, nur ein FortiCloud-Konto und ein registriertes Gerät. Über 600 Geräte in 55 Ländern wurden Opfer, bevor Fortinet den Fehler bemerkte. Der Angriff betraf FortiOS‑, FortiAnalyzer‑, FortiManager‑, FortiProxy- und FortiWeb-Produkte. Angreifer änderten Firewall-Einstellungen, erstellten unbefugte Konten und modifizierten VPN-Konfigurationen. Die Gerätesicherheit brach zusammen, als Hacker zwischen Systemen sprangen, die verschiedenen Eigentümern gehörten. Die Schwachstelle wurde später zu CISAs Katalog bekannter ausgenutzer Schwachstellen hinzugefügt, was ihre Schwere und aktive Ausnutzung hervorhob. Fortinet blockierte zwei böswillige Konten am 22. Januar, setzte den Service vorübergehend aus und stellte dann den Zugang mit stärkeren Kontrollen wieder her.
Überprüfen Sie, ob Ihre FortiGate kompromittiert wurde : Konfigurationsexporte und bösartige Anmeldungen
Wie können Organisationen feststellen, ob Hacker während dieser Angriffswelle in ihre FortiGate-Systeme eingedrungen sind ? Sicherheitsteams sollten spezifische Angriffsindikatoren untersuchen, die auf unbefugten Zugriff hinweisen. Achten Sie auf verdächtige Downloads von Konfigurationsdateien, diese Exporte enthalten Passwörter, VPN-Schlüssel und Netzwerkpläne, die Hacker verzweifelt haben wollen. Bedrohungsinformationen zeigen bösartige Anmeldungen gefolgt von sofortigen Exporten zu identischen IP-Adressen, was auf automatisierten Diebstahl hindeutet.
Starker Datenschutz beginnt mit einfachen Überwachungsstrategien. Prüfen Sie auf neu erstellte Administratorkonten, die Sie nicht autorisiert haben. Überprüfen Sie, welche Schnittstelle für Exporte verwendet wurde. Verifizieren Sie aktuelle SSO-Anmeldeereignisse, die mit dem Herunterladen von Konten verbunden sind. Diese Risikobewertung hilft dabei, legitime Sicherungen von Angriffen zu unterscheiden. Überwachen Sie Änderungen in Firewall-Richtlinien oder VPN-Konfigurationen, die auf Manipulation nach einem erfolgreichen Angriff hindeuten könnten.
Effektive Vorfallreaktion bedeutet, Sicherheitsprotokolle sofort zu befolgen. Wenn Exporte verdächtig erscheinen, rotieren Sie alle Anmeldedaten und Geheimnisse. Die Freiheit Ihrer Organisation hängt von schnellem Handeln ab.
Wie Angreifer ChatGPT zur Automatisierung der FortiGate-Ausnutzung verwendeten
Cyberkriminelle verwandelten künstliche Intelligenz in ihren persönlichen Hacking-Assistenten während dieser FortiGate-Angriffskampagne. Kommerzielle KI-Modelle wurden zu digitalen Komplizen und bewältigten 80–90% der Ausnutzungsstrategien mit minimaler menschlicher Aufsicht. Diese KI-Techniken verwandelten komplizierte Hacking-Operationen in Fließband-Effizienz.
Die Automatisierungsrisiken wurden durch drei Hauptanwendungen deutlich :
- Credential-Management – KI analysierte gestohlene Konfigurationsdateien und organisierte Passwörter und Netzwerkkarten in durchsuchbare Bibliotheken
- Threat Intelligence – Maschinelles Lernen identifizierte verwundbare Geräte über mehrere Ports hinweg, während es Erkennungssysteme umging
- Response-Frameworks – Angreifer fügte ganze Netzwerkdiagramme in Chatbots ein und erhielten schrittweise Anweisungen für laterale Bewegungen
Diese Weaponisierung generativer Modelle erforderte menschliche Intervention nur bei 4–6 kritischen Entscheidungspunkten pro Operation und demonstrierte, wie zugängliche KI-Tools nun jedem ermöglichen, ausgeklügelte Angriffe zu starten. Die parallelen Verarbeitungskapazitäten der Kampagne erlaubten es Bedrohungsakteuren, gleichzeitig mehrere Systeme in verschiedenen geografischen Regionen auszunutzen und den typischen Zeitrahmen für Massen-Kompromittierungsoperationen drastisch zu verkürzen.
Was enthüllte kriminelle Infrastruktur über das Ausmaß von Angriffen verrät
Die Kriminellen hinter dieser Kampagne machten einen überraschenden Fehler, der enthüllte, wie groß ihre Operation wirklich war. Sie ließen ihre Angriffswerkzeuge und Pläne auf öffentlich zugänglichen Servern liegen, wo Sicherheitsforscher sie finden konnten. Diese digitalen Dateien funktionierten wie eine Bedienungsanleitung und zeigten genau, wie die Angreifer KI nutzten, um das zu bauen, was Experten ein Fließband für Cyberkriminalität nannten. Der Bedrohungsakteur kompromittierte über 600 FortiGate-Geräte in einer massiven Kampagne, die sich über 55 Länder erstreckte.
Öffentlich zugängliche Angriffs-Infrastruktur
Als Sicherheitsforscher auf Server stießen, die von Angreifern weit offen gelassen wurden, entdeckten sie etwas Überraschendes : einen digitalen Bauplan, der zeigte, wie massiv diese kriminelle Operation geworden war.
Diese exponierten Systeme enthüllten kritische Details über Angriffsvektoren und operativen Umfang. Durch sorgfältige Infrastrukturanalyse kartierten Experten die wahre Reichweite der Kampagne :
- Befehlsserver über mehrere Kontinente hinweg koordinierten Angriffe gegen Hunderte von Geräten gleichzeitig
- Gespeicherte Anmeldedaten und Zugriffsprotokolle dokumentierten erfolgreiche Einbrüche in Regierungs‑, Gesundheits- und Unternehmensnetzwerke
- KI-generierte Exploitationsskripte zeigten, wie Kriminelle ihre Angriffe automatisierten, um schneller zu sein als Verteidiger
Diese zufällige Transparenz gab Verteidigern einen beispiellosen Einblick in moderne Cybercrime-Operationen. Die exponierte Infrastruktur zeichnete ein ernüchterndes Bild : raffinierte Kriminelle, die modernste Technologie nutzen, um kritische Systeme in großem Maßstab zu kompromittieren.
KI-Generiertes Werkzeug-Repository
Versteckt zwischen diesen aufgedeckten kriminellen Servern befand sich etwas noch Alarmierenderes : vollständig bestückte digitale Lagerhäuser voller Angriffswerkzeuge, die von künstlicher Intelligenz entwickelt wurden. Sicherheitsforscher entdeckten komplette KI-Toolkits, die für automatisiertes Phishing, Malware-Automatisierung und generative Ausnutzung konzipiert waren. Diese illegalen Frameworks zeigten, wie Kriminelle nun auf KI-Täuschung anstatt auf traditionelle Programmierfähigkeiten setzen.
Die Repository-Schwachstellen offenbarten einen beunruhigenden Trend : Jeder konnte fertige Angriffspakete herunterladen. Keine technischen Kenntnisse erforderlich. Zeigen, klicken, einsetzen. Multifunktionale KI-generierte Programme erledigten alles von der Aufklärung bis zum Datendiebstahl. Einige Repositories enthielten sogar Kundensupport-Kanäle. KI-generierte README-Dateien verstärkten die Legitimität dieser bösartigen Repositories und ließen gefälschte Tools für ahnungslose Nutzer vertrauenswürdig erscheinen.
Die Sicherheitsimplikationen gehen über diese einzelne Kampagne hinaus. Diese automatisierten Systeme senken überall die Barrieren für angehende Kriminelle. Was einst jahrelange Programmierkenntnisse erforderte, dauert nun mit generativen Modellen nur noch Minuten.
FortiGate-Erkennung : Identifikation von CVE-2026–24858 Exploitation-Mustern
Die Identifizierung von Anzeichen einer CVE-2026–24858-Ausnutzung erfordert die Überwachung mehrerer ungewöhnlicher Aktivitäten auf FortiGate-Geräten. Sicherheitsteams benötigen einfache Erkennungstechniken, um Probleme schnell zu erkennen. Diese Ausnutzungssignaturen helfen dabei, Netzwerke vor unbefugtem Zugriff zu schützen.
Wichtige Warnzeichen umfassen :
- Seltsame Anmeldemuster – Neue administrative Konten, die plötzlich auftauchen, besonders solche mit verdächtigen E‑Mail-Adressen wie die gesperrten bösartigen Konten
- Konfigurationsänderungen – Unerwartete Modifikationen, die VPN-Zugriff gewähren oder automatisierte Exporte von Geräteeinstellungen
- FortiCloud-Aktivität – Anmeldungen über FortiCloud SSO von unbekannten Quellen oder Geräten, die Sie nicht erkennen
Die Überwachung dieser Muster hilft dabei, Angreifer zu erwischen, bevor sie ernsthaften Schaden verursachen. Regelmäßige Protokollüberprüfungen erleichtern das Erkennen dieser Warnzeichen. Angreifer setzen häufig automatisierte Skripte ein, um schnell Konfigurationsdateien mit sensiblen Netzwerkinformationen zu exportieren. Einfache Wachsamkeit schützt die Freiheit Ihres Netzwerks vor unerwünschten Eingriffen.
Warum Geräte, die für CVE-2025–59718 gepatcht wurden, trotzdem kompromittiert wurden
Warum schauten Netzwerkadministratoren frustriert zu, als Angreifer in ihre angeblich geschützten Geräte eindrangen ? Die Antwort offenbart eine beunruhigende Lücke zwischen der Installation von Updates und tatsächlicher Sicherheit.
Fortinets erste Patches vom Dezember 2025 konnten die Blutung nicht stoppen. Geräte mit FortiOS 7.4.9 wurden im gesamten Januar 2026 weiterhin getroffen, selbst nachdem Administratoren die Patch-Verifizierung durchgeführt hatten. Das Problem war nicht nachlässiges Updaten, es waren unvollständige Korrekturen.
SSO-Schwachstellen liefen tiefer als zunächst verstanden. Die geräteseitigen Patches allein konnten Fehler in FortiClouds Authentifizierungsservern nicht beheben. Bis Fortinet ihre Cloud-seitige Korrektur am 26. Januar 2026 bereitstellte, nutzten Angreifer die Lücke zwischen dem, was Administratoren lokal kontrollierten, und dem, was remote operierte. Sicherheitsforscher bei Shadowserver identifizierten über 11.000 internetfähige Geräte mit aktiviertem FortiCloud SSO, was eine massive Angriffsfläche schuf.
Diese zweiteilige Schwachstelle bedeutete, dass alles richtig zu machen die Netzwerke trotzdem exponiert ließ. Freiheitsliebende Administratoren lernten eine harte Lektion : manchmal erfordert Schutz Korrekturen außerhalb ihrer direkten Kontrolle.
Sichern Sie Ihre FortiGate-Umgebung : Sofortige Schadensbegrenzungsmaßnahmen
Sperren Sie verwundbare Systeme ab, bevor Angreifer erneut zuschlagen. Organisationen müssen sofort umfassende FortiOS-Sicherheitsmaßnahmen implementieren. Beginnen Sie mit Firmware-Updates auf Version 7.6.6 oder später, um gefährliche Lücken wie CVE-2026–24858 zu schließen. Stärken Sie Zugangskontrollen und Authentifizierungsmethoden in Ihrem gesamten Netzwerk.
Wesentliche sofortige Maßnahmen :
- Setzen Sie strenge Passwort-Richtlinien durch und aktivieren Sie Multi-Faktor-Authentifizierung über LDAP, RADIUS oder SAML SSO für alle Administrator-Konten
- Aktivieren Sie Überwachungstools einschließlich SNMPv3, NetFlow und sFlow, um verdächtige Aktivitäten in Echtzeit zu verfolgen
- Überprüfen Sie Richtlinien-Durchsetzungsregeln durch Entfernung redundanter Konfigurationen und Anwendung von Sicherheitsprofilen mit impliziten Verweigerungsregeln
Regelmäßige Prüfungspraktiken halten Umgebungen langfristig sicher. Benutzerschulung stattet Teams aus, um Bedrohungen frühzeitig zu erkennen. Setzen Sie Administrator-Leerlaufzeiten unter zehn Minuten fest. Beschränken Sie den Zugang zur Verwaltungsschnittstelle nur auf vertrauenswürdige IP-Adressen, um unbefugte Einstiegspunkte zu verhindern. Sammeln Sie Protokolle in sicherem externem Speicher für umfassende Analyse- und forensische Untersuchungsmöglichkeiten.
Quellenangabe
- https://thehackernews.com/2026/02/ai-assisted-threat-actor-compromises.html
- https://aws.amazon.com/blogs/security/ai-augmented-threat-actor-accesses-fortigate-devices-at-scale/
- https://www.wiu.edu/cybersecuritycenter/cybernews.php
- https://socprime.com/blog/cve-2026–24858-vulnerability/
- https://arcticwolf.com/resources/blog/arctic-wolf-observes-malicious-configuration-changes-fortinet-fortigate-devices-via-sso-accounts/
- https://www.darkreading.com/vulnerabilities-threats/fortinet-new-zero-day-malicious-sso-logins
- https://www.fortinetfederal.com/blog/federal-cybersecurity-in-2026-resilience-in-an-era-of-ai-and-supply-chain-risk/
- https://cyberscoop.com/ortinet-zero-day-cve-2026–24858-forticloud-sso-auth-bypass/
- https://www.esentire.com/security-advisories/confirmed-zero-day-vulnerability-in-fortinet-products-cve-2026–24858
- https://www.aha.org/system/files/media/file/2026/01/h‑isac-tlp-white-threat-bulletins-active-exploitations-of-an-authentication-bypass-vulnerability-on-administrative-forticloud-sso‑1–28-2024.pdf
