FortiMail Zero-Day CVE-2026-104286: Angriffe laufen, Patch fehlt

Der FortiMail Zero-Day CVE-2026-104286 wird aktiv ausgenutzt – und für die meisten betroffenen Versionen gibt es noch gar keinen Patch. Fortinet hat die Lücke am 1. Oktober 2026 im Advisory FG-IR-26-175 offengelegt und stuft sie mit CVSS 9.8 als kritisch ein. Wer ein FortiMail-Gateway betreibt, muss deshalb heute handeln, nicht erst beim nächsten Patchday.

Was der FortiMail Zero-Day technisch möglich macht

Laut Fortinet handelt es sich um eine Kombination aus zwei Schwächen: einem Path Traversal (CWE-22) und einer fehlenden Behandlung von NULL-Bytes (CWE-158). Zusammen erlauben sie es einem nicht authentifizierten Angreifer, über präparierte HTTP- oder HTTPS-Anfragen beliebige Dateien auf das darunterliegende System zu schreiben. Betroffen ist die Weboberfläche des Management-Interface.

Die Versionslage ist unangenehm. Fortinet nennt diese Zweige als angreifbar:

• FortiMail 8.0.0 bis 8.0.1 – Fix erst in der noch nicht erschienenen 8.0.2
• FortiMail 7.6.0 bis 7.6.6 – Fix erst in der noch nicht erschienenen 7.6.7
• FortiMail 7.4.0 bis 7.4.8 – Fix erst in der noch nicht erschienenen 7.4.9
• FortiMail 7.2.0 bis 7.2.9 – hier hilft nur der Wechsel auf Zweig 7.4 oder höher

Mit anderen Worten: Nur Betreiber der alten 7.2 haben überhaupt ein Ziel, auf das sie jetzt updaten können. Für alle anderen bleibt vorerst der Workaround. Gefunden hat die Lücke übrigens Fortinets eigenes Product-Security-Team, konkret Gwendal Guégniaud.

Angriffe laufen, CISA setzt eine Frist

Fortinet bestätigt Ausnutzung „in the wild“, nennt aber weder Zeitraum noch Zahl der Opfer noch die Akteure. Die CISA hat CVE-2026-104286 in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen und US-Behörden verpflichtet, bis zum 4. Oktober eine forensische Prüfung durchzuführen und die Lücke zu entschärfen. Bemerkenswert ist dabei nicht die Länge der Frist, sondern dass die Pflicht zur forensischen Prüfung greift, obwohl es für drei von vier Versionszweigen noch keinen Patch gibt.

Interessant sind die veröffentlichten Kompromittierungs-Indikatoren. Neben Hashes für hinzugefügte Dateien wie /data/lib/liblog.so und /data/etc/ld.so.preload nennt Fortinet zwei IP-Adressen und – besonders aussagekräftig – einen Logeintrag, in dem ein Archiv-Konto namens archive234 per CLI eingerichtet wurde, mit einer externen IP als Ziel und /uploads als Remote-Verzeichnis.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Was das für dich bedeutet

Dieser Logeintrag ist der eigentliche Kern der Meldung. Das Ziel war offenbar nicht, die Appliance lahmzulegen, sondern den E-Mail-Verkehr abfließen zu lassen – über die Archivierungsfunktion, die FortiMail legitim mitbringt. Der Angreifer hat also keine exotische Malware gebraucht, sondern ein vorhandenes Produktfeature umgewidmet. Genau das macht so einen Angriff im Monitoring so leise: Ein neues Archivziel sieht aus wie Administration, nicht wie ein Einbruch.

Aus CISO-Sicht ist das das vertraute Muster des Jahres 2026. Was in den letzten Wochen Citrix, Cisco und F5 getroffen hat, trifft nun Fortinet: Angegriffen werden die Sicherheits- und Zugangs-Appliances selbst. Bei Cisco SD-WAN Manager und hier bei FortiMail ist es die Verwaltungsoberfläche, bei Citrix und F5 war es die exponierte Datenebene. Gemeinsam ist allen ein Gerät am Netzrand, das ohne Anmeldung erreichbar war. Ein vergleichbarer Fall war erst vor wenigen Tagen bei der Citrix-NetScaler-Lücke CVE-2026-88771 zu sehen. Nach 25 Jahren im Betrieb bleibt meine Lehre dieselbe: Ein Management-Interface, das aus dem Internet erreichbar ist, ist eine Zeitbombe – unabhängig davon, wie gut das Produkt sonst ist.

Konkrete Schritte für heute

Fortinet nennt zwei Maßnahmen, im Advisory ausdrücklich als Alternativen („Alternatively“). Aus meiner Sicht solltest du beide umsetzen. Erstens das IBE-Feature (Identity-Based Encryption) deaktivieren:

config system encryption ibe
set status disable
end

Zweitens – von Fortinet nur als Alternative genannt, aus meiner Sicht aber der wichtigere Teil – den Zugriff auf das Management-Interface aus dem Internet sperren oder auf vertrauenswürdige interne Netze begrenzen.

Darüber hinaus empfehle ich drei Dinge, die über das Advisory hinausgehen:

• Archivkonten prüfen, nicht nur Dateien. Geh die konfigurierten Archivziele deines Gateways durch und vergleiche sie mit dem dokumentierten Sollstand. Ein unbekanntes Remote-Ziel ist ein Alarm, auch ohne Hash-Treffer.
• Admin-Zugänge inventarisieren. Wenn die Appliance beschreibbar war, waren auch Konten und Konfiguration manipulierbar. Patchen allein räumt eine Hintertür nicht weg.
• Nicht auf den Patch warten, um zu prüfen. Da die Fixes für 7.4, 7.6 und 8.0 noch nicht da sind, ist die forensische Prüfung jetzt die eigentliche Arbeit – nicht später.

Wer kein FortiMail betreibt, nimmt trotzdem etwas mit: Die Frage „Welche Management-Oberflächen meiner Infrastruktur sind von außen erreichbar?“ sollte sich jedes Unternehmen beantworten können, ohne dafür ein Advisory lesen zu müssen.

Quellen

• Fortinet PSIRT: FG-IR-26-175 – Improper limitation of a pathname to a restricted directory (1. Oktober 2026)
• BleepingComputer: Fortinet warns of critical FortiMail flaw exploited in zero-day attacks
• CISA: Known Exploited Vulnerabilities Catalog