Fortinet hat am 1. Oktober 2026 ein Advisory (FG-IR-26-175) veröffentlicht, das eine kritische Lücke in FortiMail meldet: CVE-2026-104286, CVSS 9,8, aktiv in Zero-Day-Angriffen ausgenutzt (BleepingComputer). Am selben Tag nahm CISA die Schwachstelle in den Known Exploited Vulnerabilities-Katalog auf und legte US-Bundesbehörden eine Frist bis zum 4. Oktober 2026 für Forensik und Mitigation fest (Suped).

Wer eine FortiMail-Appliance betreibt – und das tun viele mittlere Betriebe als Mail-Gateway für Antispam, Antivirus und Data-Loss-Prevention –, sollte jetzt prüfen, ob die eigene Version betroffen ist. Die Lücke sitzt im Management-Interface: Ein unauthentifizierter, externer Angreifer kann über gezielte HTTP- oder HTTPS-Anfragen beliebige Dateien auf dem System schreiben. In der Praxis heißt das: Wer das Admin-Interface ins Internet zeigt, ermöglicht einem Fremden, Konfiguration zu ändern, Accounts anzulegen oder Daten an einen externen Server zu schicken. Die von Fortinet veröffentlichten IOCs zeigen genau so etwas – unter anderem einen neu angelegten Archive-Account namens archive234, der Mail-Archive an die IP 79[.]141.169.187 leitet.

Was die Lücke technisch auslöst

CVE-2026-104286 kombiniert Path Traversal (CWE-22) mit unzureichender NULL-Byte-Neutralisation (CWE-158). Gwendal Guégniaud vom Product-Security-Team bei Fortinet entdeckte die Schwachstelle intern. Betroffen sind FortiMail 8.0.0 bis 8.0.1, 7.6.0 bis 7.6.6, 7.4.0 bis 7.4.8 und 7.2.0 bis 7.2.9 (BleepingComputer).

Die Patches – 8.0.2, 7.6.7 und 7.4.9 – sind laut Fortinet „upcoming", also angekündigt, aber noch nicht verfügbar. Suped betont ausdrücklich, dass diese Builds nicht als verfügbar behandelt werden sollen. Wer auf 7.2 läuft, soll auf die 7.4er-Zweig oder höher aufrüsten – dabei aber darauf achten, nicht in die ebenfalls betroffenen Versionen 7.4.0 bis 7.4.8 zu wechseln. An dieser Stelle würde ich nicht spekulieren, wann der Patch tatsächlich da ist, und das Wartungsfenster erst planen, wenn die Version im Advisory als veröffentlicht markiert ist.

Fortinet hat IOCs veröffentlicht: Sieben SHA-256-Hashes von Dateien, die auf kompromittierten Systemen hinzugefügt oder verändert wurden, sowie die IP-Adressen 79[.]141.169.187 und 45[.]129.0.192. In den Log-Beispielen taucht unter anderem ein Cron-Job auf, der einen Befehl unter /migadmin ausführt, ein IBE-Entschlüsselungsfehler wegen ungültiger Base64-Kodierung und fehlgeschlagene Login-Versuche (BleepingComputer).

Was jetzt zu tun ist

1. Prüfen, welche FortiMail-Version läuft, und das Management-Interface sofort aus dem Internet herausholen – per Firewall-Regel oder Access-Control-Liste, nur noch von vertrauenswürdigen internen Netzen erreichbar. Extern verifizieren, dass HTTPS nicht mehr erreichbar ist, denn eine Einschränkung, die von außen nicht greift, reduziert die Exposure nicht.
2. Die IBE-Funktionalität über die CLI deaktivieren, sofern der Betrieb das zulässt. Vorher dokumentieren, welche Workflows von IBE abhängen, und nach der Änderung bestätigen, dass die Einstellung wirksam bleibt.
3. Die Logs der letzten Wochen durchsuchen: auf die genannten IP-Adressen, auf den Account-Namen archive234, auf Cron-Einträge unter /migadmin und auf IBE-Entschlüsselungsfehler. Tauchen Treffer auf, Logs und Systemzustand sichern, bevor ein Reboot oder Reimage stattfindet – das sind die Beweise, die man hinterher braucht.

Das Ärgerliche an dieser Lücke: Man merkt sie nicht an einem Fehler im Mail-Flow, sondern an einem Account, den man nie angelegt hat, oder an einer Datei, die man dort nicht erwartet. Wer jetzt unsicher ist, ob die eigene FortiMail sauber ist, hat damit schon die richtige Frage gestellt – und die Antwort findet man am schnellsten, wenn jemand mit Zugang zum Gerät die Logs zusammenliest. Wenn Sie möchten, schauen wir uns das einmal an: Kontakt.

Beitragsbild: Atypeek Dgn auf Pexels