Fortinet FortiMail: Path Traversal ermöglicht unauthentifizierte Dateischreibzugriffe

Zusammenfassung

Fortinet FortiMail enthält eine Path-Traversal-Schwachstelle in Kombination mit fehlerhafter Behandlung von NULL-Bytes, die über die IBE-Komponente erreichbar ist. Ein nicht authentifizierter Angreifer kann durch manipulierte HTTP- oder HTTPS-Anfragen beliebige Dateien auf dem zugrunde liegenden System schreiben, was zur unautorisierten Ausführung von Code oder Befehlen führen kann. Fortinet und CISA melden eine aktive Ausnutzung, und die Schwachstelle ist im Katalog der bekannten ausgenutzten Schwachstellen (KEV) von CISA aufgeführt.

Betroffen

• FortiMail 8.0.0 bis 8.0.1
• FortiMail 7.6.0 bis 7.6.6
• FortiMail 7.4.0 bis 7.4.8
• FortiMail 7.2.0 bis 7.2.9
• FortiMail 7.0, alle Versionen (gemäss Fortinet-Advisory)
• FortiMail Cloud wurde von Fortinet am 5. Oktober 2026 behoben; Kunden müssen nichts unternehmen

Behoben in

• 8.0: 8.0.2 oder höher
• 7.6: 7.6.7 oder höher
• 7.4: 7.4.9 oder höher
• 7.2: kommende Version 7.2.10 oder höher (gemäss Fortinet; Verfügbarkeit nicht bestätigt)
• 7.0: Unbekannt; auf eine behobene Version migrieren

Umgehung

• IBE-Dienst deaktivieren (GUI: Encryption -> IBE -> IBE Service off, oder CLI: config system encryption ibe, set status disable, end)
• Zugriff auf die Weboberfläche von FortiMail aus dem Internet sperren oder auf vertrauenswürdige private Netzwerke beschränken
• Falls eine WAF vor FortiMail betrieben wird, POST-Anfragen an /ibe blockieren, die '../' enthalten

Ausnutzung

• Aktive Ausnutzung: durch Fortinet und CISA bestätigt (am 1. Oktober 2026 in den KEV-Katalog aufgenommen)
• Zuordnung zu einem Threat Actor: Unbekannt
• Öffentlicher Proof of Concept: Nicht verifiziert; Angreifer können die Schwachstelle vermutlich nachvollziehen
• Fortinet veröffentlicht Indikatoren für Kompromittierung im Advisory FG-IR-26-175

Unsere Empfehlung

• Alle FortiMail-Appliances inklusive virtueller und Cloud-Instanzen mit ihren Versionen inventarisieren.
• IBE deaktivieren, falls es nicht benötigt wird, und den Zugriff auf Web- und Managementoberfläche umgehend auf vertrauenswürdige Netzwerke beschränken.
• Die Indikatoren für Kompromittierung in FG-IR-26-175 prüfen und Logs auswerten; bei Verdacht auf eine Kompromittierung eine forensische Triage starten.
• Je nach Version auf 8.0.2, 7.6.7 oder 7.4.9 aktualisieren und eine Migration weg von 7.2 und 7.0 planen.
• Vor dem Rollout auf dem Portal von Fortinet prüfen, ob die behobenen Versionen herunterladbar sind.
• Das Deaktivieren von IBE nur als Eindämmung betrachten, nicht als Nachweis, dass das System sauber ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (5 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  ShadowForge-Cyber/CVE-2026-104286-POC · techupdate24/fortimail-zero-day-cve-2026-104286 · kh20134/fortimail-cve-2026-104286-response · CompleteTech-Security/fortimail-cve-2026-104286-check · maxprog-svg/CVE-2026-104286

Quellen der Recherche

• Fortinet PSIRT advisory FG-IR-26-175 fortiguard.fortinet.com
• CISA Known Exploited Vulnerabilities Catalog entry for CVE-2026-104286 www.cisa.gov
• CISA alert: KEV catalog addition for CVE-2026-104286 www.cisa.gov
• watchTowr FAQ on CVE-2026-104286 watchtowr.com
• Tenable CVE-2026-104286 www.tenable.com
• SOCRadar: FortiMail zero-day under active exploitation socradar.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:23.