Security Meldungen · 05.10.2026 · Sebastian Schuler
Kritische FortiMail-Lücke CVE-2026-104286 wird aktiv ausgenutzt: So sichern Sie Ihr Mail-Gateway ab
UPDATE 05.10.26: Fortinet warnt vor einer kritischen Schwachstelle in FortiMail, über die Angreifer ohne Anmeldung Dateien auf das Mail-Gateway schreiben und das System übernehmen können. Die Lücke wird bereits aktiv ausgenutzt, Updates sind seit 05. Oktober verfügbar. Nun heißt es "jetzt aktualisieren". Ein genauer Blick darauf, ob das eigene System schon kompromittiert ist, kann trotzdem nicht schaden.
Das Wichtigste in Kürze
Die Fakten aus dem Fortinet-Advisory FG-IR-26-175 und den Behördenmeldungen im Überblick.
Schwachstelle
CVE-2026-104286, Path Traversal (CWE-22) im Webinterface von FortiMail, Fortinet-Advisory FG-IR-26-175
Bewertung
CVSS 9,8 (kritisch), Angriff ohne Anmeldung über HTTP oder HTTPS
Status
Aktiv ausgenutzt, im KEV-Katalog der US-Behörde CISA, vom CERT-Bund als kritisch eingestuft (WID-SEC-2026-3701)
Betroffen
FortiMail 7.2, 7.4, 7.6 und 8.0
Updates
8.0.2, 7.6.7 und 7.4.9 sind seit 05.10. verfügbar. Für 7.2: Wechsel auf 7.4 oder höher
Sofort tun
IBE deaktivieren, Verwaltungszugriff aus dem Internet sperren, dann auf Kompromittierung prüfen
Was ist passiert?
Fortinet hat eine Schwachstelle in FortiMail veröffentlicht, die es in sich hat. Über manipulierte Web-Anfragen brechen Angreifer aus dem vorgesehenen Verzeichnis aus und schreiben beliebige Dateien auf das System. Ein Login ist dafür nicht nötig.
Entdeckt hat die Lücke Fortinets eigenes Product-Security-Team. Gleichzeitig liegen dem Hersteller Berichte über Angriffe vor, das Advisory führt die Lücke als „Known Exploited“. Fortinet hatte deshalb nicht auf die fertigen Updates gewartet, sondern das Advisory sofort veröffentlicht, mit Workaround und einer ausführlichen Liste an Kompromittierungsindikatoren. Das war der richtige Weg: Betreiber konnten sofort handeln, statt abzuwarten.
Die US-Cybersicherheitsbehörde CISA hat die Lücke am 1. Oktober 2026 in ihren Katalog aktiv ausgenutzter Schwachstellen (KEV) aufgenommen. US-Bundesbehörden hatten bis zum 4. Oktober Zeit, die Gegenmaßnahmen umzusetzen und ihre Systeme forensisch zu prüfen. Auch das CERT-Bund des BSI stuft die Schwachstelle als kritisch ein. Deutlicher kann ein Signal kaum sein.
Fortinet hat das Fortinet-Advisory FG-IR-26-175 am 05. Oktober aktualisiert und die Updates bereitsgestellt.
Technischer Hintergrund: Warum das Mail-Gateway ein lohnendes Ziel ist
Technisch handelt es sich um eine Path-Traversal-Lücke (CWE-22) in der Weboberfläche. Der CVSS-Vektor AV:N/AC:L/PR:N/UI:N beschreibt das Problem präzise: Angriff über das Netz, geringe Komplexität, keine Berechtigung, keine Mitwirkung eines Nutzers. Wer Dateien auf einem System ablegen kann, kann in aller Regel auch eigenen Code ausführen. Fortinet bewertet die Auswirkung entsprechend als Ausführung nicht autorisierter Befehle.
Dazu kommt die Position des Systems. FortiMail steht dort, wo die gesamte E-Mail-Kommunikation eines Unternehmens durchläuft, am Übergang zwischen internem Netz und Internet. Wer dieses System kontrolliert, liest mit: Angebote, Verträge, Personaldaten, Zugangslinks. Und er sitzt an einer Stelle, der intern meist vertraut wird.
Die von Fortinet veröffentlichten Spuren zeigen, dass die Angreifer genau darauf zielen. Neben veränderten Systemdateien findet sich ein Eintrag in ld.so.preload, der eigene Programmbibliotheken bei jedem Programmstart mitlädt. Das ist ein typischer Weg, sich dauerhaft im System festzusetzen. Außerdem taucht in den Protokollen ein neu angelegtes Archivkonto auf, das Nachrichten an einen externen Server überträgt. Dessen IP-Adresse steht ebenfalls auf Fortinets Indikatorenliste. Das spricht dafür, dass es den Angreifern nicht nur um das Gerät geht, sondern um die E-Mails selbst.
Für die Praxis heißt das: Der Workaround schließt die Tür. Einen Angreifer, der bereits im System ist, wirft er aber nicht hinaus.
Wer ist betroffen?
Betroffen sind FortiMail-Systeme als Appliance oder virtuelle Maschine in vier Versionszweigen. Die Lösungen laut Fortinet-Advisory FG-IR-26-175:
Versionszweig
Betroffene Versionen
Lösung laut Fortinet
FortiMail 8.0
8.0.0 bis 8.0.1
Update auf 8.0.2 oder höher
FortiMail 7.6
7.6.0 bis 7.6.6
Update auf 7.6.7 oder höher
FortiMail 7.4
7.4.0 bis 7.4.8
Update auf 7.4.9 oder höher
FortiMail 7.2
7.2.0 bis 7.2.9
Wechsel auf Versionszweig 7.4 oder höher
Für den Zweig 7.2 stellt Fortinet kein eigenes Update bereit, sondern empfiehlt den Wechsel auf eine neuere Version. Ältere Zweige wie 7.0 behandeln Sie vorsorglich ebenfalls als betroffen. In beiden Fällen gilt: Workaround jetzt konsequent umsetzen und den Versionswechsel direkt einplanen. Maßgeblich ist das Advisory, dort erscheinen auch die Updates, sobald sie verfügbar sind.
Was jetzt zu tun ist
Inzwischen gibt es für alle unterstützten Zweige korrigierte Versionen. Die Botschaft an Kund:innen lautet deshalb nicht mehr „Workaround und warten“, sondern „jetzt aktualisieren“. Wir haben den bisherigen Workaround aber weiter für Sie gelistet:
- Bestand klären. Welche FortiMail-Systeme laufen bei Ihnen, als Appliance oder virtuelle Maschine, und mit welcher Firmware? Denken Sie auch an Test- und Altsysteme, die leicht aus dem Blick geraten.
- IBE deaktivieren. Der zentrale Workaround ist das Abschalten der Identity Based Encryption (IBE). In der Oberfläche unter Encryption > IBE > IBE Service „off“ oder per Kommandozeile:
config system encryption ibe
set status disable
end - Verwaltungszugriff einschränken. Nehmen Sie die FortiMail-Verwaltungsoberfläche aus dem Internet oder erlauben Sie den Zugriff nur aus vertrauenswürdigen internen Netzen. Fortinet nennt das als Alternative zum IBE-Workaround. Wir empfehlen, beides zu kombinieren.
- Auf Kompromittierung prüfen. Gleichen Sie Ihre Systeme mit den Indikatoren aus dem Advisory ab (Übersicht unten). Prüfen Sie besonders, ob unbekannte Archivkonten mit externem Ziel angelegt wurden, und durchsuchen Sie Firewall-Logs nach Verbindungen zu den genannten IP-Adressen.
- Bei Treffern konsequent handeln. Ein kompromittiertes Gateway nicht einfach weiterbetreiben. Isolieren Sie das System, sichern Sie die Spuren für die Analyse, setzen Sie es sauber neu auf und tauschen Sie alle Zugangsdaten und Schlüssel aus, die auf dem Gerät hinterlegt waren.
Wichtig: Der Workaround ersetzt das Update nicht. Bereits kompromittierte Geräte bleiben kompromittiert, deshalb nach dem Update auf Indikatoren prüfen.
Vor dem Abschalten: Nebenwirkungen kennen
Mit IBE stellt FortiMail verschlüsselte E-Mails an externe Empfänger zu, die ihre Nachrichten dann über die FortiMail-Oberfläche öffnen. Ist IBE abgeschaltet, fällt dieser Weg vorübergehend weg.
Prüfen Sie vorab, was in Ihren Verschlüsselungsprofilen unter „Action on failure“ hinterlegt ist. Je nach Einstellung werden betroffene Nachrichten abgewiesen, nur per TLS-Transportverschlüsselung zugestellt oder unverschlüsselt versendet. Informieren Sie die Fachbereiche, die regelmäßig vertraulich mit externen Partnern kommunizieren, und legen Sie für die Übergangszeit einen alternativen sicheren Weg fest.
Kompromittierungsindikatoren im Überblick
Fortinet hat eine ausführliche Liste an Spuren veröffentlicht, die auf einen erfolgreichen Angriff hindeuten. Die wichtigsten Indikatoren:
Typ
Indikator laut Fortinet
Datei, neu angelegt
/data/lib/liblog.so
Datei, neu angelegt
/data/bin/webconsole
Datei, neu angelegt
/data/bin/mailservice
Datei, neu angelegt
/data/etc/ld.so.preload
Datei, verändert
/bin/smit
Datei, verändert
/data/etc/httpd.conf
Datei, verändert
/data/migadmin.tar.gz
IP-Adressen
79[.]141.169.187, 45[.]129.0.192
System-Logs
Cron-Job mit Befehl zu „/migadmin“, neu angelegtes Archivkonto mit externem Ziel (remote-ip 79.141.169.187), Abmeldung des Admin-Kontos ohne erkennbare Quelle
Verschlüsselungs-Logs
IBE-Fehlermeldung „Invalid Base64 Encoding“, fehlgeschlagene Logins mit Platzhalter-Adresse wie *@domain.tld
Die zugehörigen MD5- und SHA256-Prüfsummen finden Sie im Fortinet-Advisory FG-IR-26-175. Einzelne IBE-Fehlermeldungen kommen auch im Normalbetrieb vor. Aussagekräftig ist das Gesamtbild.
Mehr als Technik: Melde- und Dokumentationspflichten
Ein kompromittiertes Mail-Gateway ist nicht nur ein technisches Thema. Weil über das System personenbezogene Daten laufen, kann ein erfolgreicher Angriff eine Datenschutzverletzung nach Art. 33 DSGVO sein, mit Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden. Unternehmen, die unter NIS-2 fallen, prüfen zusätzlich, ob ein erheblicher Sicherheitsvorfall vorliegt. Dann ist die Frühwarnung an das BSI innerhalb von 24 Stunden fällig.
Unser Rat: Dokumentieren Sie schon jetzt, wann Sie welche Maßnahme umgesetzt haben und was die Prüfung ergeben hat. Das schafft Klarheit gegenüber Geschäftsführung, Aufsicht und Versicherer und spart im Ernstfall wertvolle Zeit.
Einordnung: Perimeter-Systeme gehören nach oben im Patch-Prozess
Mail-Gateways, Firewalls und VPN-Zugänge sind das Erste, was Angreifer aus dem Internet sehen. Genau deshalb stehen sie so oft im Fokus. Mit ein paar klaren Grundregeln nehmen Unternehmen solchen Lücken viel von ihrer Wirkung: die eigenen Perimeter-Systeme vollständig kennen, Verwaltungsoberflächen grundsätzlich nicht ins Internet stellen und Sicherheitsmeldungen der Hersteller mit festen Reaktionszeiten bearbeiten.
Ein Advisory wie dieses sollte innerhalb von Stunden bewertet und umgesetzt sein, nicht erst im nächsten regulären Wartungsfenster. Wer diesen Ablauf einmal sauber aufsetzt, ist beim nächsten Mal deutlich schneller.
Häufige Fragen
Die drei Fragen, die uns zu dieser Lücke am häufigsten erreichen, kurz beantwortet.
Ist meine FortiMail betroffen?
Betroffen sind die Versionszweige 7.2, 7.4, 7.6 und 8.0 in den oben genannten Versionen. Ältere Zweige sollten Sie vorsorglich ebenfalls als betroffen behandeln.
Gibt es schon ein Update?
Ja, Fortinet hat die Versionen 8.0.2, 7.6.7 und 7.4.9 veröffentlicht. Bis sie updaten, schützt der Workaround: IBE deaktivieren und den Verwaltungszugriff aus dem Internet sperren.
Reicht der Workaround aus?
Er senkt das Risiko neuer Angriffe über diese Lücke deutlich, entfernt aber keinen Angreifer, der sich bereits eingenistet hat. Die Prüfung auf Kompromittierung gehört deshalb immer dazu.
Unterstützung durch enthus
Als Fortinet-Partner setzen wir den Workaround passend zu Ihrem Mailbetrieb um, prüfen Ihre FortiMail-Systeme auf die bekannten Indikatoren und spielen die Updates ein, sobald Fortinet sie bereitstellt. Zeigt die Prüfung Auffälligkeiten, begleiten wir Analyse und Wiederherstellung. Für den dauerhaften Betrieb Ihrer Fortinet-Umgebung bieten wir Managed Services mit Monitoring und regelmäßigen Updates.
Sprechen Sie uns an, wir prüfen Ihr FortiMail-Gateway auf Kompromittierung und setzen den Workaround mit Ihnen um.