Fortinet hat am 13. Oktober 2026 den Sicherheitshinweis FG-IR-26-184 veröffentlicht, in dem eine SQL-injection-Schwachstelle (CVE-2025-57739) in der Weboberfläche des E-Mail-Gateways FortiMail offengelegt wird. Die Schwachstelle wurde mit CVSSv3 7.7 (High) bewertet und ermöglicht einem authentifizierten Angreifer, über speziell gestaltete HTTP-Anfragen nicht autorisierten Code oder Befehle auszuführen. Betroffen sind drei FortiMail-Zweiglinien – 7.2, 7.4 und 7.6; Patches stehen bereits zur Verfügung. Administratoren von On-Premises-Installationen sollten die Software vorrangig aktualisieren.
Technische Details der Schwachstelle
Die Schwachstelle ist als CWE-89 klassifiziert – unzureichende Neutralisierung spezieller Elemente, die in SQL-Befehlen verwendet werden. Laut dem Sicherheitshinweis von Fortinet erfolgt der Angriff über die GUI-Komponente (FortiMail Webmail) mittels speziell gestalteter HTTP-Anfragen. Der CVSS-Vektor (gemäß dem offiziellen CVE-Eintrag: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) weist auf Netzwerkzugriff mit geringer Angriffskomplexität, aber zwingend erforderlicher Authentifizierung hin. Die Auswirkung wird in allen drei Dimensionen – Vertraulichkeit, Integrität und Verfügbarkeit – als hoch eingestuft.
Wichtiger Punkt: Für die Ausnutzung ist ein Webmail-Benutzerkonto erforderlich. Das verringert die Wahrscheinlichkeit massenhafter automatisierter Angriffe, schließt die Gefahr jedoch nicht aus – kompromittierte oder schwache Zugangsdaten von Mailnutzern können ein Ausgangspunkt für eine Rechteausweitung sein.
Nach dem Sicherheitshinweis von Fortinet wurde die Schwachstelle mit internen Mitteln des Unternehmens entdeckt. Zum Zeitpunkt der Veröffentlichung des Hinweises wurden keine Fälle aktiver Ausnutzung beobachtet.
Betroffene Versionen und Patches
Laut dem Sicherheitshinweis von Fortinet sind folgende FortiMail-Versionen betroffen:
- FortiMail 7.6: Versionen 7.6.0 bis 7.6.3 – aktualisieren auf 7.6.4 oder höher
- FortiMail 7.4: Versionen 7.4.0 bis 7.4.5 – aktualisieren auf 7.4.6 oder höher
- FortiMail 7.2: Versionen 7.2.0 bis 7.2.8 – aktualisieren auf 7.2.9 oder höher
FortiMail 8.0 ist von dieser Schwachstelle nicht betroffen. Für Nutzer des Cloud-Dienstes FortiMail Cloud teilt Fortinet mit, dass das Problem bereits im ersten Quartal 2026 behoben wurde und von Kundenseite keine Maßnahmen erforderlich sind.
Bewertung der Auswirkungen
FortiMail wird weit verbreitet als sicherer Unternehmens-E-Mail-Gateway eingesetzt, der Spam-Filterung, Antivirenprüfung und Schutz vor Phishing bereitstellt. Eine SQL injection im Webmail-Interface stellt eine ernsthafte Bedrohung dar: Eine erfolgreiche Ausnutzung kann zu einer Rechteausweitung führen, was im Kontext eines E-Mail-Gateways potenziellen Zugriff auf vertrauliche Kommunikation und die Möglichkeit zur Manipulation von Mail-Richtlinien bedeutet.
Es ist erwähnenswert, dass Fortinet im Oktober 2026 gleich mehrere Schwachstellen in seinen Produkten offengelegt hat. Zuvor haben wir über die Umgehung der Authentifizierung in FortiSandbox mit CVSS 9.6 und eine kritische Schwachstelle in FortiSIEM mit CVSS 9.4 berichtet. Organisationen, die mehrere Fortinet-Produkte einsetzen, sollten eine umfassende Versionsprüfung der gesamten Infrastruktur des Herstellers durchführen.
Empfehlungen
- Ermitteln Sie die von Ihnen eingesetzte FortiMail-Version und gleichen Sie sie mit der obigen Liste der betroffenen Versionen ab.
- Aktualisieren Sie FortiMail auf die korrigierte Version des jeweiligen Zweigs (7.6.4, 7.4.6 oder 7.2.9). Wenn ein Umstieg auf den Zweig 8.0 möglich ist, der nicht von der Schwachstelle betroffen ist, ziehen Sie diese Option in Betracht.
- Überprüfen Sie die Webmail-Konten: Da die Ausnutzung eine Authentifizierung erfordert, stellen Sie sicher, dass es keine kompromittierten oder ungenutzten Konten gibt. Verschärfen Sie Ihre Passwort-Richtlinien.
- Für Nutzer von FortiMail Cloud sind keine zusätzlichen Maßnahmen erforderlich – Fortinet teilt mit, dass der Patch bereits auf Seiten des Cloud-Dienstes eingespielt wurde.
Auch wenn Fortinet derzeit keine aktive Ausnutzung von CVE-2025-57739 beobachtet, machen der CVSS-Score 7.7 und die Möglichkeit einer Rechteausweitung das Update zu einer Priorität. SQL injections gehören nach wie vor zu den am besten erforschten und am leichtesten automatisierbaren Angriffsklassen – ein Zögern bei der Installation des Patches erhöht das Risiko, sobald Details zur Schwachstelle in den öffentlichen Raum gelangen. Planen Sie das FortiMail-Update für das nächstmögliche Wartungsfenster ein.
