FortiMail-Zero-Day wird ausgenutzt, während Kunden auf Sicherheitsupdates warten

Fortinet hat davor gewarnt, dass Angreifer einen kritischen FortiMail-Zero-Day ausnutzen, um nicht autorisierten Code oder Befehle auf anfälligen Geräten auszuführen. Das Unternehmen fordert Kunden dazu auf, vorübergehende Schutzmaßnahmen anzuwenden, während sie auf korrigierte Softwareversionen warten.

Die als CVE-2026-104286 verfolgte Schwachstelle betrifft die FortiMail-Verwaltungsoberfläche und hat einen CVSS-Schweregrad von 9,8.

Kritische Schwachstelle ermöglicht Dateischreibzugriffe ohne Authentifizierung

Laut Fortinet kombiniert die Schwachstelle Path Traversal mit einer fehlerhaften Verarbeitung von Nullzeichen. Zusammen ermöglichen diese Schwachstellen Angreifern, über speziell präparierte HTTP- oder HTTPS-Anfragen beliebige Dateien auf das zugrunde liegende System zu schreiben.

Angreifer müssen sich nicht authentifizieren, bevor sie die Schwachstelle ausnutzen. Daher stellen exponierte Verwaltungsoberflächen ein unmittelbares Risiko für betroffene Organisationen dar.

Fortinet schreibt die interne Entdeckung der Schwachstelle Gwendal Guégniaud aus seinem Product-Security-Team zu. Das Unternehmen hat jedoch nicht bekannt gegeben, wann die Ausnutzung begann oder wie viele Geräte von den Angreifern kompromittiert wurden.

Vier FortiMail-Versionszweige erfordern Aufmerksamkeit

Die Schwachstelle betrifft die folgenden Versionen:

Versionszweig	Betroffene Versionen	Angekündigte korrigierte Version
FortiMail 8.0	8.0.0–8.0.1	8.0.2, demnächst verfügbar
FortiMail 7.6	7.6.0–7.6.6	7.6.7, demnächst verfügbar
FortiMail 7.4	7.4.0–7.4.8	7.4.9, demnächst verfügbar
FortiMail 7.2	7.2.0–7.2.9	Migration auf eine korrigierte Version eines neueren Zweigs

Zum Zeitpunkt der Veröffentlichung am 1. Oktober führte Fortinet die Korrekturen für die Zweige 7.4, 7.6 und 8.0 als demnächst verfügbar auf.

Kunden, die FortiMail 7.2 verwenden, müssen hingegen auf einen neueren Zweig wechseln, um eine dauerhafte Behebung zu erhalten. Ein einfaches Upgrade auf eine betroffene Version eines anderen Zweigs würde die Schwachstelle nicht beheben.

Vorübergehende Workarounds reduzieren die Angriffsfläche

Bis Kunden eine korrigierte Version installieren können, empfiehlt Fortinet, die Unterstützung für die IBE-Funktion mit diesen Befehlen zu deaktivieren:

config system encryption ibe
set status disable
end

Alternativ können Administratoren den Internetzugriff auf die FortiMail-Verwaltungsoberfläche blockieren oder den Zugriff auf vertrauenswürdige private Netzwerke beschränken.

Diese Workarounds reduzieren die Gefährdung durch den FortiMail-Zero-Day. Ihre Anwendung gibt jedoch keinen Aufschluss darüber, ob ein Gerät bereits kompromittiert wurde.

Angriffsindikatoren umfassen veränderte Dateien und Archiveinstellungen

Fortinet veröffentlichte außerdem Indikatoren, die Administratoren bei der Untersuchung verdächtiger Aktivitäten unterstützen sollen. Dazu gehören neu hinzugefügte Dateien und Änderungen an bestehenden Systemkomponenten.

Zu den aufgeführten Dateien gehören /data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice und /data/etc/ld.so.preload. Gleichzeitig veränderten die Angreifer /bin/smit, /data/etc/httpd.conf und /data/migadmin.tar.gz.

Das Unternehmen brachte außerdem zwei IP-Adressen mit den Angriffen in Verbindung: 79[.]141.169.187 und 45[.]129.0.192.

Ein veröffentlichtes Log-Beispiel zeigt, wie jemand über die Befehlszeile ein Archivkonto mit dem Namen archive234 erstellt. Dessen Einstellungen verweisen auf einen Remote-Server unter 79[.]141.169.187 und ein /uploads-Verzeichnis.

Diese Konfiguration könnte auf einen Versuch hindeuten, archivierte Informationen aus der Organisation heraus zu übertragen. Der Log-Eintrag allein bestätigt jedoch nicht, dass eine Übertragung erfolgreich war.

Weitere Beispiele umfassen einen geplanten Befehl mit /migadmin, eine ungewöhnliche Administrator-Abmeldung und einen IBE-Dekodierungsfehler. Fortinet führte auch fehlgeschlagene Anmeldeereignisse als Hinweise für die Untersuchung auf.

CISA setzt Bundesbehörden Frist bis zum 4. Oktober

CISA hat CVE-2026-104286 in seinen Katalog der Known Exploited Vulnerabilities aufgenommen. Die Behörde verlangt von betroffenen Bundesbehörden, bis zum 4. Oktober eine forensische Ersteinschätzung durchzuführen und die Schwachstelle zu entschärfen.

Fortinet erklärt unterdessen, dass das Unternehmen mit den zuständigen Regierungsorganisationen, einschließlich CISA, zusammenarbeitet.

Das Unternehmen hat weder die Angreifer identifiziert noch das vollständige Ausmaß der Kampagne offengelegt. Derzeit konzentrieren sich seine Empfehlungen darauf, die Angriffsfläche zu reduzieren und Geräte auf Hinweise auf einen Einbruch zu untersuchen.