Zero-Day-Schwachstelle in FortiMail: beliebige Dateischreibung und was zu tun ist

Fortinet FortiMail ist von der kritischen Schwachstelle CVE-2026-104286 (CVSS 9.8) betroffen, die es einem entfernten, nicht authentifizierten Angreifer erlaubt, beliebige Dateien über HTTP(S) auf das System zu schreiben. Der Hersteller bestätigt eine Ausnutzung „in the wild“ und empfiehlt, die in dem Sicherheitshinweis FG-IR-26-175 beschriebenen Workarounds umgehend anzuwenden. CISA hat diesen Fehler zudem in den Katalog der Known Exploited Vulnerabilities aufgenommen und verlangt von Bundesbehörden Schutzmaßnahmen bis zum 4. Oktober 2026.

Technische Details der Schwachstelle CVE-2026-104286

Laut der Fortinet-Mitteilung FG-IR-26-175 wird die Schwachstelle wie folgt klassifiziert:

• CVE: CVE-2026-104286
• Bewertung: CVSSv3 9.8 (kritisch)
• Typ: Improper limitation of a pathname to a restricted directory (path traversal, CWE-22) und Improper neutralization of NULL byte/character (CWE-158)
• Vektor: entfernter Zugriff über HTTP oder HTTPS ohne Authentifizierung
• Haupteffekt: Möglichkeit, beliebige Dateien auf das Dateisystem des Geräts zu schreiben

Fortinet beschreibt das Problem als Kombination aus:

• path traversal – unzureichender Filterung des Dateipfads, was das Verlassen der erwarteten Verzeichnisse erlaubt;
• fehlerhafter Neutralisierung von NULL-Bytes, was in der Regel genutzt wird, um Prüfungen von Dateiendungen zu umgehen oder Zeichenketten bei dateibezogenen Serverfunktionen abzuschneiden.

Die Ausnutzung erfolgt über speziell gestaltete HTTP/HTTPS-Anfragen an FortiMail. Da die Schwachstelle vor dem Authentifizierungsschritt greift, reicht dem Angreifer die Netzwerkerreichbarkeit der Schnittstelle aus, um zu versuchen, eigene Dateien in sensible Bereiche des Dateisystems zu schreiben. Aus Sicht der ATT&CK-Matrix fällt dies in die Taktik Initial Access und die Technik des Schreibens von Dateien zur späteren Ausführung, aber eine konkrete Technik festzulegen, wäre hier nicht korrekt, da der Hersteller das Szenario bis hin zur Codeausführung nicht offenlegt.

Betroffene FortiMail-Versionen

Betroffen sind folgende Zweige und Versionen von FortiMail:

• FortiMail 8.0.0–8.0.1 (empfohlen wird ein Update auf 8.0.2 oder höher, sobald verfügbar)
• FortiMail 7.6.0–7.6.6 (Update auf 7.6.7 oder höher)
• FortiMail 7.4.0–7.4.8 (Update auf 7.4.9 oder höher)
• FortiMail 7.2.0–7.2.9 (Migration auf den Zweig 7.4 oder höher)

Für die Schwachstelle ist ein standardmäßiger Eintrag in der NVD-Datenbank zu erwarten; er wird unter NVD: CVE-2026-104286 verfügbar sein, wo im Laufe der Zeit zusätzliche Details zur Bewertung des Vektors und der CVSS-Teilkomponenten erscheinen werden.

Bestätigte Ausnutzung und Indikatoren einer Kompromittierung

Fortinet gibt ausdrücklich an, dass die Schwachstelle bereits in zielgerichteten Angriffen ausgenutzt wird. Im Sicherheitshinweis werden konkrete Indikatoren einer Kompromittierung (IOC) veröffentlicht, die bei der retrospektiven Analyse helfen können:

Feindliche IP-Adressen:

• 79.141.169[.]187
• 45.129.0[.]192

Verdächtige Dateien und Änderungen auf FortiMail:

• /data/lib/liblog.so (hinzugefügt)
• /data/bin/webconsole (hinzugefügt)
• /data/bin/mailservice (hinzugefügt)
• /data/etc/ld.so.preload (hinzugefügt)
• /bin/smit (geändert)
• /data/etc/httpd.conf (geändert)
• /data/migadmin.tar.gz (geändert)

Die aufgeführten Pfade geben indirekt Aufschluss über den Charakter des Angriffs: Die Modifikation von ld.so.preload und System-Binaries deutet auf den Versuch hin, sich über Bibliotheks-Hooks und die Veränderung des Verhaltens von Systemkomponenten dauerhaft einzunisten. Änderungen an der httpd-Konfiguration und das Hinzufügen eigener Binaries in /data/bin sehen nach dem Aufbau einer persistenten webbasierten Administrationsoberfläche und eines Backdoors aus.

Kontext und Art der Bedrohung für die Mail-Infrastruktur

Die Aufnahme von CVE-2026-104286 in den Katalog der CISA Known Exploited Vulnerabilities und die Vorgaben aus der CISA-Mitteilung zur Aufnahme einer neuen Schwachstelle für zivile Bundesbehörden bis zum 4. Oktober 2026 unterstreichen, dass es sich nicht um ein theoretisches Risiko handelt, sondern um eine bereits laufende Ausnutzungskampagne.

Hervorzuheben ist der Hintergrund: Zeitgleich werden laut CISA Schwachstellen in Check Point, Arista, F5, Cisco und Citrix ausgenutzt. Insgesamt ergibt sich ein typisches Szenario für Angreifer, die auf Netzwerk- und Anwendungsgateways abzielen: Sie arbeiten nacheinander aktuelle Schwachstellen in Perimetergeräten ab, über die zentrale Kommunikationsströme laufen (E-Mail, VPN, Proxy, SD-WAN, Load-Balancer). FortiMail liefert als Gateway für Unternehmens-E-Mails in dieser Kette:

• Zugriff auf Mail-Flows und Inhalte;
• einen Punkt zur Einschleusung von Phishing und zum Abfangen von Korrespondenz;
• einen potenziellen Brückenkopf für die weitere Ausweitung des Angriffs ins interne Netz.

Beliebiges Schreiben von Dateien ohne Authentifizierung kann nahezu immer bis zur Codeausführung auf dem Gerät getrieben werden (z. B. durch Manipulation der Webserver-Konfiguration, dynamisches Nachladen von Bibliotheken, Migrations- und Backup-Mechanismen). Damit ist CVE-2026-104286 aus praktischer Sicht gleichbedeutend mit einer Schwachstelle zur vollständigen Remote-Übernahme von FortiMail, sofern ein Exploit vorhanden ist.

Bewertung der Auswirkungen auf Organisationen

Am höchsten ist das Risiko für Organisationen, bei denen FortiMail aus dem Internet erreichbar ist und auf den verwundbaren Zweigen 7.2, 7.4, 7.6 und 8.0 ohne aktuelle Patches und ohne die beschriebenen Workarounds läuft.

Kritische Folgen bei ausbleibender Reaktion können sein:

• Kompromittierung der Mail-Infrastruktur. Potenziell unautorisierter Zugriff auf ein- und ausgehende Kommunikation, Weiterleitung von Kopien von E-Mails, verdeckte Änderungen der Mail-Routing-Regeln.
• Verbreitung von Phishing und bösartigen Anhängen von legitimen Domains. Die Übernahme von FortiMail ermöglicht es Angreifern, E-Mails aus der vertrauenswürdigen Domäne der Organisation zu versenden, was die Erfolgsquote von Angriffen auf Kunden und Partner deutlich erhöht.
• Brückenkopf für weiteres Eindringen. Sobald Codeausführung auf FortiMail erreicht ist, kann der Angreifer das System als Einstiegspunkt für Aufklärung im internen Netz, laterale Bewegung und Angriffe auf andere Systeme nutzen.
• Verletzung der Integrität und Verfügbarkeit des Dienstes. Änderungen an kritischen Dateien (httpd.conf, System-Binaries, Bibliotheken) können sowohl zu verdeckten Manipulationen des Traffics als auch zu Dienstunterbrechungen führen, etwa durch Konfigurationsfehler oder das Löschen von Systemkomponenten.
• Regulatorische und juristische Risiken. In Branchen mit strengen Anforderungen an den Schutz der Kommunikation (Finanzsektor, öffentlicher Sektor, Gesundheitswesen) kann die Kompromittierung eines E-Mail-Gateways als Vorfall der Verletzung der Vertraulichkeit gewertet werden.

Das Risiko ist insbesondere erhöht für:

• Organisationen mit globaler Mail-Infrastruktur und öffentlich erreichbarer FortiMail-Administration;
• Bundes- und Regionalbehörden (unter Berücksichtigung der gesonderten CISA-Vorgaben);
• Kritische Infrastrukturen, bei denen E-Mail als Steuerungs- und Kommunikationskanal für sensible Dokumente genutzt wird.

Praktische Empfehlungen zum Schutz von FortiMail

1. Sofortmaßnahmen zur Risikoreduzierung

Bis zur vollständigen Aktualisierung von FortiMail sollten die von Fortinet im offiziellen Sicherheitshinweis empfohlenen Maßnahmen umgesetzt werden:

• Funktion IBE (Identity Based Encryption) deaktivieren.
  Über die FortiMail-CLI den folgenden Befehl ausführen:

  config system encryption
      ibe
        set status disable
      end

  Dies ist eine temporäre Maßnahme, die die Angriffsfläche reduziert, solange Patches für einige Zweige noch nicht verfügbar sind.

• Zugriff auf die Verwaltungsoberfläche von FortiMail einschränken.
  • Zugriff auf das administrative Web-Interface aus dem Internet sperren;
  • Administration nur von vertrauenswürdigen internen Adressen oder über Jump-Hosts und VPN zulassen;
  • Sicherstellen, dass Firewall-Policies und Routing diese Einschränkungen nicht umgehen lassen.

2. Versions-Updates und Patch-Planung

Nach Umsetzung der Sofortmaßnahmen sollten Updates geplant und durchgeführt werden:

• Zweig 8.0: Update auf 8.0.2 oder neuer (sobald das Release verfügbar ist);
• Zweig 7.6: Update auf 7.6.7 oder neuer;
• Zweig 7.4: Update auf 7.4.9 oder neuer;
• Zweig 7.2: Migration auf 7.4 oder einen neueren Zweig.

Organisationen des zivilen US-Bundessektors sollten die Fristen aus der CISA-Mitteilung zur Aktualisierung des KEV berücksichtigen und FortiMail (durch Patch oder Workaround) bis spätestens zum genannten Datum in Einklang mit den Vorgaben bringen.

3. Suche nach Kompromittierungsspuren und Monitoring

Parallel zum Update sollte eine gezielte Sicherheitsüberprüfung von FortiMail erfolgen:

• Prüfen des Vorhandenseins und Zustands der Dateien:
  • /data/lib/liblog.so
  • /data/bin/webconsole
  • /data/bin/mailservice
  • /data/etc/ld.so.preload
  • /bin/smit
  • /data/etc/httpd.conf
  • /data/migadmin.tar.gz

  Jegliche Abweichungen von einer Referenzinstallation oder unerwartete Änderungen der Zeitstempel erfordern eine weitergehende Analyse.

• Prüfen der Logs auf Zugriffe von den IP-Adressen:
  • 79.141.169[.]187
  • 45.129.0[.]192

  Wichtig ist die Analyse sowohl administrativer Sitzungen als auch ungewöhnlicher HTTP-Anfragen an das Web-Interface.

• Durchsicht der Logs auf ungewöhnliche Anfragen mit langen Pfaden, ../-Sequenzen und verdächtigen Parametern, insbesondere solchen, die zu IBE-Komponenten oder Dateioperationen führen.
• Prüfen, ob Mail-Routing-Policies, Regeln zur Adressumschreibung und Integrationen mit externen Systemen (SIEM, Archivierung, DLP) verändert wurden.

Bei Anzeichen einer Kompromittierung ist das Gerät als potenziell vollständig kompromittiert zu betrachten: Es sind ein separater Incident Response, Forensik, die Neuausstellung von Zertifikaten und gegebenenfalls eine Neuinstallation von FortiMail mit anschließender Wiederherstellung aus einem vertrauenswürdigen Backup erforderlich.

Die wichtigste Maßnahme für die kommenden Tage ist, IBE auf verwundbaren FortiMail-Systemen umgehend zu deaktivieren, den Zugriff auf die Verwaltungsoberfläche aus dem Internet zu sperren, anschließend die Firmware auf sichere Versionen zu aktualisieren und eine Überprüfung anhand der veröffentlichten IOC durchzuführen. Das Ignorieren von CVE-2026-104286 angesichts ihres aktuellen KEV-Status bedeutet de facto, das Risiko einer vollständigen Übernahme des Mail-Gateways in Kauf zu nehmen.