Fortinets FortiMail-Zero-Day erlaubt Angreifern, Dateien ohne Anmeldung zu schreiben

Fortinet legte am 1. Oktober 2026 eine kritische Schwachstelle in FortiMail, seinem E-Mail-Sicherheitsgateway, offen und erklärte, Angreifer nutzten sie bereits. Die als CVE-2026-104286 geführte Lücke hat einen CVSS-v3-Wert von 9.8 und erlaubt einem nicht authentifizierten Angreifer, über manipulierte HTTP- oder HTTPS-Anfragen beliebige Dateien auf das Gerät zu schreiben. Fortinets Hinweis schreibt Gwendal Guégniaud aus dem Product-Security-Team des Unternehmens zu, das Problem intern gefunden und gemeldet zu haben, und sagt nicht, wann das geschah.

Zum Weiterlesen: Ciscos SD-WAN-Manager-Zero-Day lässt Angreifer als Admin hinein · Zwei Citrix-NetScaler-Zero-Days, drei Wochen unentdeckt, und nun massenhafte Ausnutzung.

FortiMail ist kein Verbraucherprodukt. Es ist das E-Mail-Gateway, das eine Organisation vor ihre Mailserver stellt, und es erreicht das öffentliche Internet von Natur aus, weil E-Mail das tut. Ein Dateischreibfehler auf dieser Box, erreichbar ohne Anmeldung, ist die Art von Schwachstelle, die ein Perimeter-Gerät zu einem Standbein für einen Angreifer macht. Die CISA nahm die CVE am selben Tag, an dem sie offengelegt wurde, in ihren Katalog bekannter ausgenutzter Schwachstellen auf und gab US-Bundesbehörden im zivilen Bereich bis zum 4. Oktober Zeit, forensische Triagen durchzuführen und Milderungen anzuwenden, so The Hacker News.

Die betroffenen Zweige sind laut Fortinets PSIRT-Hinweis FG-IR-26-175 FortiMail 8.0.0 bis 8.0.1, 7.6.0 bis 7.6.6, 7.4.0 bis 7.4.8 und 7.2.0 bis 7.2.9.

Was der Fehler tatsächlich bewirkt

Der Hinweis ordnet den Fehler unter zwei Schwächen ein. Die erste ist eine unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis, CWE-22, die Klasse, die üblicherweise Pfad-Traversal genannt wird. Die zweite ist die unsachgemäße Neutralisierung eines NULL-Bytes oder -Zeichens, CWE-158. Zusammengenommen erlauben sie einer Anfrage, den Ort zu verlassen, auf den sie beschränkt sein sollte, und an einen Pfad zu schreiben, den der Angreifer wählt.

Das unterscheidende Detail ist, wo das Schreiben landet. Fortinets Tabelle verortet die Komponente in der GUI, und ihre Auswirkungszeile lautet „nicht autorisierten Code oder Befehle ausführen". Beliebiges Dateischreiben gibt einem Angreifer ein Standbein. Eine Datei, die im richtigen Verzeichnis platziert wird, kann geladen, ausgeführt oder genutzt werden, um die Konfiguration des Geräts selbst zu verändern, weshalb die Umgehungslösung auf den Anfragepfad selbst zielt.

Der CVSS-v3-Wert von 9.8 ist keine Ermessensfrage. Fortinets Vektor, AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, liest sich als netzwerkerreichbar, geringe Komplexität, keine Rechte erforderlich und keine Nutzerinteraktion, bei hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Ein Angreifer, der die anfällige Schnittstelle erreichen kann, braucht kein Konto und muss keinen Administrator dazu bringen, etwas zu öffnen. Dateien an der richtigen Stelle auf einem Gerät zu schreiben, ist ein Schritt vom Ausführen von Code darauf entfernt.

„Eine unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis ('Path Traversal') [CWE-22] und die unsachgemäße Neutralisierung eines NULL-Bytes oder NULL-Zeichens [CWE-158] können einem nicht authentifizierten Angreifer erlauben, über manipulierte HTTP- oder HTTPS-Anfragen beliebige Dateien auf dem zugrunde liegenden System zu schreiben." — Fortinet PSIRT-Hinweis FG-IR-26-175, 1. Oktober 2026

Warum ein E-Mail-Gateway in der Schusslinie steht

Ein E-Mail-Sicherheitsgateway ist aus dem Internet erreichbar, weil E-Mail von dort kommt. Dieselbe Exposition, die es eingehende Post filtern lässt, erlaubt einem Angreifer, Anfragen auf seine Verwaltungsoberfläche zu senden. FortiMails eigene Funktionen erweitern diese Oberfläche: Die Umgehungslösung des Hinweises deaktiviert IBE, den identitätsbasierten Verschlüsselungsdienst der Plattform, was den erreichbaren Pfad in eine Funktion legt, für die das Produkt existiert.

E-Mail ist auch eine Vertrauensgrenze. Ein Gateway, das Nachrichten prüft, sieht Inhalte, die viele andere Systeme nicht sehen, und es hält Konfiguration und Zugangsdaten für den Mailfluss, den es verwaltet. Ein Angreifer, der Dateien auf dieses System schreiben kann, kann ändern, was es mit der Post in seiner Obhut tut. Help Net Security merkte an, dass der Fehler intern gefunden wurde und dass Fortinet nicht offenlegte, wann oder wo die Angriffe entdeckt wurden.

Diese Kombination ist es, was diese Fehlerklasse haltbar macht. Hersteller können das Gerät nicht einfach per Firewall abschotten, denn seine Aufgabe ist es, nach außen zu schauen. Betreiber können die Verwaltungsschnittstelle auf ein vertrauenswürdiges Netz beschränken, und Fortinet empfiehlt genau das, aber das Gerät beantwortet weiterhin Mail von überall.

Die Uhr des Bundes und was sie nicht abdeckt

Die KEV-Listung der CISA am 1. Oktober setzte eine Frist bis zum 4. Oktober 2026 für US-Bundesbehörden im zivilen Bereich, eine forensische Triage durchzuführen und Milderungen anzuwenden, so The Register. Drei Kalendertage, einer davon ein Wochenende. Diese Uhr bindet Bundesbehörden. Sie signalisiert allen anderen die Schwere, und sie bewegt keine Geräte des Privatsektors.

Das Fenster ist selbst nach KEV-Maßstäben kurz, und es wurde gesetzt, bevor Fortinet fertig war, Behebungen für jeden Zweig auszuliefern. Die Anweisung der CISA markiert Schwere; sie bedeutet nicht, dass ein Patch bereitlag. Behörden wurden angewiesen, zuerst zu triagieren und mit dem zu mildern, was verfügbar war, was in der Praxis die Umgehungslösung für alle bedeutete, deren Zweig noch keine Version hatte. Private Betreiber bekamen gar keine Frist, nur einen Katalogeintrag.

Der unangenehme Teil ist das, was The Register dokumentierte: Fortinet listete Behebungen für mehrere betroffene Zweige als „kommend", als der Alarm ausging. Eine „kommende" Behebung bedeutet, dass ein Betreiber, der der eigenen Anleitung des Herstellers folgt, noch nicht patchen kann und auf eine Umgehungslösung zurückfallen muss, die das Produktverhalten ändert. Help Net Security berichtete, die beabsichtigten Behebungen seien die Versionen 8.0.2, 7.6.7 und 7.4.9 und FortiMail-7.2-Nutzer sollten auf den 7.4-Zweig oder höher wechseln. Die Lösungstabelle des Hinweises nennt 8.0.2, 7.6.7 und 7.4.9 als Upgrade-Ziele, wobei FortiMail-7.2-Nutzer auf den 7.4-Zweig oder höher verwiesen werden.

Eine Serie ausgenutzter Edge-Geräte 2026

Der FortiMail-Fehler ist kein Einzelfall. The Hacker News listet ihn neben einer Reihe aktiv ausgenutzter Edge- und Sicherheitsgeräte aus 2026: Check Point (CVE-2026-85102 und CVE-2026-93616), Arista VeloCloud Orchestrator (CVE-2026-93952), F5 BIG-IP Access Policy Manager (CVE-2026-94127), Cisco Catalyst SD-WAN Manager (CVE-2026-76504) und Citrix NetScaler ADC und Gateway (CVE-2026-88771 und CVE-2026-88772).

TechPastWeek berichtete diesen Monat über zwei dieser Episoden. Der Zero-Day im Cisco SD-WAN Manager war eine Authentifizierungsumgehung, die in einer Admin-Sitzung endete; die Citrix-NetScaler-Zero-Days wurden in denselben Tagen massenhaft ausgenutzt. Das Muster ist gleichbleibend: internetzugewandte Sicherheits- und Netzwerkprodukte, nicht authentifizierte oder vor-authentifizierte Fehler und eine Ausnutzung, die beginnt, bevor Verteidiger einen Patch zur Hand haben.

SecurityWeek rahmte die FortiMail-Offenlegung genau deshalb als dringendes Handeln. Die Geräte teilen eine Eigenschaft, die sie attraktiv macht: Sie sind vertrauenswürdig, sie sitzen am Rand, und die Kompromittierung eines einzelnen kann alles dahinter erreichen.

Wie man ein FortiMail auf Kompromittierung prüft

Fortinet veröffentlichte Kompromittierungsindikatoren, und der Hinweis ist der Ausgangspunkt. Er listet zwei Angriffs-IP-Adressen, 79.141.169[.]187 und 45.129.0[.]192, plus Protokollmuster im Systemereignisprotokoll und im Verschlüsselungsprotokoll. The Hacker News berichtete über zusätzliche Indikatoren auf Dateiebene: hinzugefügte Dateien unter /data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice und /data/etc/ld.so.preload, zusammen mit Änderungen an /bin/smit, /data/etc/httpd.conf und /data/migadmin.tar.gz.

Zwei Warnungen gehören zu dieser Liste. Fortinets Ereignisprotokolleinträge enthalten gewöhnlich wirkende Admin-Aktivität, ein einzelner Treffer braucht also Kontext, bevor er zu einem Befund wird. Und wie The Register betonte, entfernt das Anwenden der Umgehungslösung keine Dateien oder Persistenzmechanismen, die ein Angreifer bereits platziert haben könnte. Ein Host, der zu einem Indikator passt, braucht eine ordentliche Kompromittierungsuntersuchung, bevor er wieder in Produktion geht.

Die Umgehungslösung, solange sie nötig ist

Wo ein Upgrade noch nicht möglich ist, bewirkt Fortinets Umgehungslösung zwei Dinge. Sie deaktiviert die IBE-Unterstützung, entweder über die GUI unter Encryption, dann IBE, oder mit dem CLI-Befehl config system encryption ibe, gefolgt von set status disable und end. Und sie weist Administratoren an, den Zugriff auf die FortiMail-Verwaltungsschnittstelle aus dem Internet zu blockieren oder auf ein vertrauenswürdiges privates Netz zu beschränken.

SOC Prime merkte bei der Durchsicht der Milderungsanleitung am 5. Oktober an, dass kein herstellerseitiger virtueller Patch gelistet sei, die Umgehungslösung also die Option bleibt, bis ein korrigierter Build eintrifft.

Einschränkungen

Fortinet hat nicht gesagt, wann die Angriffe begannen, wer dahintersteckt oder wie viele Kunden kompromittiert wurden. Der Hinweis räumt die aktive Ausnutzung ein und veröffentlicht Indikatoren; er attribuiert die Aktivität keiner benannten Gruppe, und in der hier geprüften Berichterstattung erscheint keine glaubwürdige Zuordnung. Nichts in dieser Geschichte sollte als Hinweis auf einen bestimmten Akteur gelesen werden.

Auch das interne Entdeckungsdatum fehlt. Der Hinweis würdigt Guégniaud und nennt die Offenlegung am 1. Oktober, das ist die öffentliche Grenze des Bekannten. SOC Prime berichtete am 5. Oktober über dieselben Fakten, ohne eine Zeitleiste zu ergänzen. Fortinet veröffentlichte auch nicht für jeden Zweig gleichzeitig eine Behebung, der Zustand eines einzelnen Geräts hängt also von seiner Version ab und davon, ob sein Betreiber sich bewegt hat.

Eine weitere Sache lassen die Quellen offen: wie weit FortiMail gegen das Internet verbreitet ist. Die Zahl der exponierten Verwaltungsschnittstellen wäre die Größe, die uns sagen würde, wie viel Risiko bleibt, und niemand hat sie veröffentlicht.

Was zu beobachten ist

• Abschluss des Patchings. Fortinet listet 8.0.2, 7.6.7 und 7.4.9 als Upgrade-Ziele. Ob Betreiber außerhalb der Bundesbehörden sich bewegt haben, ist die offene Frage.
• Persistenzprüfungen. Die Umgehungslösung bereinigt keinen bereits kompromittierten Host. Indikatoren in den Datei- und Protokolllisten des Hinweises sind der Ausgangspunkt, nicht das Ende einer Untersuchung.
• Aktualisierte Indikatoren. Zwei IP-Adressen und eine Reihe von Dateipfaden beschreiben, was gesehen wurde, nicht alles, womit ein Betreiber konfrontiert sein könnte. Neue Varianten würden die Suche erweitern.
• Der nächste Edge-Fehler. FortiMail reiht sich in eine Liste von 2026 ein, die bereits Cisco, Citrix, Check Point, F5 und Arista umfasst. Ein einzelnes gepatchtes Gerät als Ende des Problems zu betrachten, verfehlt das Muster.

Fortinet hat den Fehler gepatcht. Die Frist der CISA für Bundesbehörden lief am 4. Oktober ab, und niemand hat veröffentlicht, wie viele der anderen FortiMail-Geräte zuerst aktualisiert wurden.

Titelbild: „Fortinet FortiGate 6501F.png" von Premeditated via Wikimedia Commons, CC BY-SA 4.0. Das Foto zeigt ein Fortinet-Gerät, keine FortiMail-Einheit.