6. Januar 2026 · Security-Advisory · Rückblick · Firewall · Zero-Day

Rückblick 2025: Das Jahr, in dem die Firewalls selbst zum Ziel wurden

Fortinet, Cisco, Juniper, F5: 2025 zielten Angreifer systematisch auf Firewalls, VPN-Gateways und Management-Ebenen. Ein Rückblick mit Lehren.

Wer die Sicherheitsmeldungen des Jahres 2025 nebeneinanderlegt, erkennt ein Muster: Angreifer haben nicht mehr primär versucht, an Firewalls und VPN-Gateways vorbeizukommen – sie haben die Geräte selbst übernommen. Zero-Days in FortiOS, PAN-OS und Cisco ASA, Backdoors auf Juniper-Routern, ein Einbruch in die Entwicklungsumgebung von F5: Der Perimeter, der schützen soll, war 2025 das bevorzugte Ziel. Dieser Rückblick ordnet die wichtigsten Vorfälle chronologisch ein – nüchtern, denn dramatisieren muss man hier nichts. Für mittelständische Unternehmen, die genau diese Geräte am Netzrand betreiben, sind die Konsequenzen konkret.

Januar: Fortinet-Zero-Day und ein altes Leck

Am 14. Januar 2025 veröffentlichte Fortinet das Advisory FG-IR-24-535 zu CVE-2024-55591 (CVSS 9,6, laut NVD 9,8), einem Authentication-Bypass in FortiOS und FortiProxy, der bereits seit Mitte November 2024 aktiv ausgenutzt wurde: Angreifer legten unbemerkt Admin-Konten an und änderten SSL-VPN-Gruppen. Die CISA nahm die Lücke noch am selben Tag in den KEV-Katalog auf, das BSI warnte. Ebenfalls am selben Tag veröffentlichte eine Gruppe namens „Belsen Group“ Konfigurationen und VPN-Zugangsdaten von über 15.000 FortiGates – 2022 über CVE-2022-40684 abgegriffen. Betroffen waren damit auch längst gepatchte Geräte, deren alte Zugangsdaten nie rotiert worden waren.

Januar: „J-magic“ – die lauschende Backdoor

Am 23. Januar beschrieb Lumen Black Lotus Labs eine Kampagne gegen Juniper-Router in Unternehmensnetzen: eine passive Backdoor, die auf ein präpariertes „Magic Packet“ wartete und erst dann eine Verbindung öffnete. Die Kampagne lief nach Einschätzung der Forscher etwa von September 2023 bis Mitte 2024; rund die Hälfte der betroffenen Geräte diente als VPN-Gateway. Eine CVE gibt es nicht, der ursprüngliche Infektionsweg blieb ungeklärt – ein Lehrstück dafür, wie wenig Sichtbarkeit auf Netzgeräten üblicherweise besteht.

Februar: PAN-OS-Management-Interface

Mit CVE-2025-0108 wurde am 12. Februar ein Authentication-Bypass im Management-Webinterface von Palo Alto PAN-OS öffentlich. Bereits am 18. Februar bestätigte sich die aktive Ausnutzung – verkettet mit CVE-2025-0111 und der älteren CVE-2024-9474; die CISA nahm die Lücken in den KEV-Katalog auf. Verwundbar war im Wesentlichen, wer das Management-Interface aus dem Internet erreichbar machte. Genau das war – und ist – erschreckend oft der Fall.

März: UNC3886 auf Juniper-Routern

Am 12. März dokumentierte Mandiant eine Kampagne, die von Forschern einem China-nexus-Akteur namens UNC3886 zugeschrieben wird: Über CVE-2025-21590 wurde der Veriexec-Integritätsschutz von Junos OS umgangen und TINYSHELL-basierte Backdoors installiert – überwiegend auf MX-Routern, die ihr End-of-Life erreicht hatten. Juniper reagierte mit JSA93446 und einem Reference Advisory, die CISA listete die Lücke am 13. März im KEV-Katalog. Altgeräte am Netzrand waren hier nicht nur ungepatcht, sondern faktisch nicht mehr verteidigbar.

April: Persistenz, die das Patchen überlebt

Fortinet meldete im April eine Spätfolge älterer SSL-VPN-Lücken (u. a. CVE-2022-42475, CVE-2023-27997, CVE-2024-21762): Angreifer hatten auf kompromittierten Geräten einen Symlink im Sprachdatei-Ordner des SSL-VPN hinterlegt, der lesenden Zugriff auf die Gerätekonfiguration erlaubte – und spätere Patches überstand. Schätzungen bewegten sich zwischen 14.000 und 16.600 betroffenen Geräten. Erst die Builds 7.6.2, 7.4.7, 7.2.11, 7.0.17 und 6.4.16 erkennen und entfernen den Symlink. Die Lehre: Ein Patch schließt die Lücke, beendet aber nicht automatisch eine bereits bestehende Kompromittierung.

Mai: FortiVoice-Zero-Day

CVE-2025-32756 (CVSS 9,6, Advisory FG-IR-25-254 vom 13. Mai): ein Stack-Overflow mit Remote-Code-Execution, als Zero-Day gegen FortiVoice ausgenutzt – inklusive gezieltem Löschen von Logspuren. Betroffen waren fünf Fortinet-Produktlinien; die CISA nahm die Lücke am 14. Mai in den KEV-Katalog auf. Das Muster – Zero-Day, unbemerkter Zugriff, Spurenbeseitigung – entsprach exakt dem der Firewall-Fälle, nur diesmal über die Telefonanlage.

Juni und Juli: Cisco ISE mit dreimal CVSS 10,0

Am 25. Juni veröffentlichte Cisco Patches für zwei unauthentifizierte RCE-Lücken in der Identity Services Engine (CVE-2025-20281, -20282); Mitte Juli folgte mit CVE-2025-20337 eine dritte – alle mit dem Maximalwert CVSS 10,0 bewertet. Gegen Ende Juli bestätigte sich die aktive Ausnutzung; die CISA folgte am 28. Juli mit dem KEV-Eintrag für zwei der drei Lücken. Einen Workaround gab es nicht, es half nur der Patch. Ausgerechnet die zentrale Instanz für Netzzugriffskontrolle wurde damit selbst zum Einstiegspunkt.

September: Ciscos doppelter Notfall

Das Monatsende brachte zwei Zero-Day-Meldungen binnen zwei Tagen. Erstens: CVE-2025-20333 (CVSS 9,9) und CVE-2025-20362, verkettet zur vollständigen Übernahme von ASA- und FTD-Firewalls, ausgenutzt seit etwa Mai 2025 – mit der Malware RayInitiator/LINE VIPER, die Reboots und sogar Firmware-Upgrades überstand. Die CISA erließ die Emergency Directive ED 25-03, das BSI warnte. Zweitens: CVE-2025-20352 (CVSS 7,7), ein SNMP-Zero-Day in IOS/IOS XE, in der „Operation Zero Disco“ für Rootkits auf älteren Catalyst-Switches genutzt (KEV-Aufnahme am 29. September).

Oktober: Der F5-Einbruch

Am 15. Oktober legte F5 per SEC-Meldung offen, dass ein staatlich unterstützter Akteur langfristigen Zugriff auf die BIG-IP-Entwicklungsumgebung hatte – entdeckt bereits am 9. August, die Veröffentlichung auf Bitten des US-Justizministeriums verzögert. Entwendet wurden Teile des BIG-IP-Quellcodes, Informationen zu noch unveröffentlichten Schwachstellen sowie Konfigurationsdaten einzelner Kunden. Am selben Tag erschien die Quartalsmeldung K000156572 mit rund 44 CVEs; die CISA setzte mit der Emergency Directive ED 26-01 eine Patch-Frist bis zum 22. Oktober, NCSC und BSI (2025-287083-1032) warnten. Shadowserver zählte rund 267.000 aus dem Internet erreichbare BIG-IP-Management-Interfaces. Die in Presse und Forschung genannte Zuschreibung an China-nexus-Akteure hat F5 selbst nicht bestätigt.

November: FortiWeb, zweimal

Anfang November wurde bekannt, dass Fortinet eine aktiv ausgenutzte Path-Traversal-Lücke in der WAF-Produktlinie FortiWeb (CVE-2025-64446), die eine Umgehung der Authentifizierung erlaubte, zunächst stillschweigend mit Version 8.0.2 gepatcht hatte – ausgenutzt seit Anfang Oktober, mit Rogue-Admin-Konten auf internetexponierten Geräten; die CVSS-Einstufung schwankt je nach Quelle zwischen 9,1 und 9,8. Die CISA listete die Lücke am 14. November im KEV-Katalog. Nur vier Tage später folgte mit CVE-2025-58034 der zweite aktiv ausgenutzte FortiWeb-Zero-Day (KEV-Aufnahme am 18. November).

Dezember: FortiCloud-SSO-Bypass

Zum Jahresabschluss: CVE-2025-59718 und CVE-2025-59719 (CVSS 9,1 laut Fortinet, 9,8 laut NVD), ein Login-Bypass im FortiCloud-SSO-Mechanismus, offengelegt am 9. Dezember und wenige Tage später aktiv ausgenutzt. Brisant war ein Detail: SSO wird bei der FortiCare-Registrierung automatisch aktiviert, sofern der Haken nicht entfernt wird – viele Betreiber wussten gar nicht, dass dieser Zugangsweg auf ihren Geräten existiert. Mehrere CERTs und Sicherheitsdienstleister warnten binnen weniger Tage.

Was der Mittelstand daraus lernen sollte

Management-Interfaces gehören niemals ins Internet. PAN-OS im Februar, FortiWeb im November, 267.000 exponierte BIG-IP-Interfaces im Oktober – ein erheblicher Teil der Vorfälle funktionierte nur, weil Verwaltungszugänge öffentlich erreichbar waren. Administration gehört in ein getrenntes Managementnetz oder hinter ein VPN, mit eingeschränkten Quelladressen.

Patchen allein reicht nicht. Der Belsen-Leak traf gepatchte Geräte über alte Zugangsdaten, der Fortinet-Symlink und RayInitiator überstanden Updates. Wer nach einem relevanten Advisory nur patcht, aber weder Admin-Konten noch Konfigurationsänderungen prüft und keine Zugangsdaten rotiert, schließt die Tür hinter einem Angreifer, der bereits im Raum steht. Nötig ist laufendes Monitoring auf Rogue-Admins und unerwartete Konfigurationsänderungen.

EOL-Hardware ist ein Haftungsrisiko. Die UNC3886-Kampagne lief überwiegend auf End-of-Life-Routern, „Operation Zero Disco“ auf älteren Switches. Geräte ohne Herstellersupport lassen sich nicht mehr verteidigen – ihr Weiterbetrieb am Netzrand ist eine bewusste Risikoentscheidung und sollte auch so dokumentiert werden.

Assume Breach bei exponierten VPN-Appliances. Wer ein SSL-VPN-Gateway seit Jahren im Internet betreibt, sollte 2025 zum Anlass nehmen, nicht nur den Patchstand, sondern eine mögliche Alt-Kompromittierung zu prüfen: Konten, Konfiguration, Zertifikate, Zugangsdaten. Wie ein belastbares Sicherheitskonzept dafür aussieht, beschreiben wir unter Cyber Security & Sicherheit.

Wie sector7 unterstützt

Als inhabergeführtes Systemhaus betreiben und härten wir genau die hier genannten Plattformen – mit Zertifizierungen für Cisco, Juniper, Fortinet, Palo Alto Networks, F5 und HPE. Unser NOC überwacht Kundensysteme rund um die Uhr und erkennt damit auch das, was Patches nicht abdecken: unerwartete Admin-Konten, Konfigurationsänderungen, auffälliges Geräteverhalten. Ergänzt wird das durch gelebte Veeam-Backup-Praxis und Compliance-Beratung zu ISO 27001, NIS-2, DORA und TISAX – zu festen monatlichen Preisen im Rahmen unserer Managed Services.

Quellen

Sprechen wir über Ihre Situation.

Gespräch vereinbaren +49 212 240915 0