Zurück zum Blog

Nach PHP2Shell: Fortinet, Java und Node.js updaten

Kurz nach PHP2Shell sind zwischen dem 21. und 22. Oktober drei weitere dringende Sicherheitsupdates erschienen. Betroffen sind Fortinet-Firewalls, Oracle Java und Node.js.

Was ist neu?

Fortinet hat am 22. Oktober Updates für FortiOS, FortiManager und FortiAnalyzer veröffentlicht. Sie schliessen kritische Lücken, die Fortinet teils mit KI-Modellen gefunden hat. Details will Fortinet am 10. November veröffentlichen. Eine Ausnutzung ist noch nicht bekannt, Fortinet rechnet aber damit, dass Angreifer die Updates auswerten. Für FortiGate-Firewalls sind FortiOS 8.0.2, 7.6.8, 7.4.13 oder 7.2.14 nötig.

Oracle Java erhielt ein ausserplanmässiges Update (CVE-2026-91403). Es sperrt Zwischenzertifikate des indischen Anbieters eMudhra, deren Schlüssel unsicher erzeugt wurden. Ohne Update vertraut Java Zertifikaten aus dieser Kette weiterhin. Das reguläre Update vom 20. Oktober enthält diese Sperrung nicht.

Node.js hat die Lücke Node2Shell (CVE-2026-111497) geschlossen. Manipulierte, mit Brotli komprimierte Daten können damit Code ausführen. Behoben ist sie in 22.23.4, 24.22.1 und 26.12.1. Node.js 20 und älter erhalten keinen Fix mehr.

Was Sie jetzt tun sollten

  1. Firewall: Fortinet-Geräte umgehend aktualisieren und danach die Protokolle auf fremde Anmeldungen prüfen. Die Verwaltung der Firewall gehört nicht ins Internet.
  2. Fachsoftware: Bei Lieferanten von ERP-, Buchhaltungs- oder Branchensoftware nachfragen, ob Java oder Node.js mitgeliefert wird und wann das Update kommt.
  3. Eigene Anwendungen: Java und Node.js auf Servern aktualisieren und die Dienste neu starten.