FortiMail Sicherheitslücke CVE-2026-104286 als Zero-Day ausgenutzt

Zusammenfassung

Am 1. Oktober 2026 hat Fortinet für FortiMail den Sicherheitshinweis FG-IR-26-175 veröffentlicht. Die FortiMail Sicherheitslücke CVE-2026-104286 ist ein Path-Traversal-Fehler in der Web-Funktion IBE (Identity Based Encryption). Ein nicht authentifizierter Angreifer kann damit beliebige Dateien auf das Gerät schreiben. Die Lücke wurde ausgenutzt, bevor es eine Korrektur gab (Zero-Day).

• CVSS v3: 9,8 (Kritisch)
• Betroffene Versionen: FortiMail 8.0.0–8.0.1, 7.6.0–7.6.6, 7.4.0–7.4.8 und 7.2.0–7.2.9.
• Aktiv ausgenutzt: Ja.
• CISA KEV: Am 1. Oktober 2026 in den Katalog aufgenommen. Frist für US-Bundesbehörden war der 4. Oktober 2026.
• Status der Behebung: Noch keine korrigierte Version. Ein vorläufiger Workaround ist verfügbar.

Welche Versionen sind betroffen?

Für den Zweig 7.2 ist keine Korrektur vorgesehen. Wenn Sie 7.2 einsetzen, planen Sie den Wechsel auf 7.4 oder einen neueren Zweig jetzt.

Was ist jetzt zu tun?

1. Bestand erfassen: Prüfen Sie die Version jedes FortiMail-Geräts und ob die IBE-Funktion aktiv ist.
2. IBE abschalten: Der erste Workaround ist, IBE zu deaktivieren. Führen Sie in der CLI diese Befehle aus:

``` config system encryption ibe set status disable end ```

Wenn Sie IBE abschalten, stoppt auch der verschlüsselte E-Mail-Verkehr, der davon abhängt. Informieren Sie Ihre Nutzer vorab.

1. Wenn IBE nicht abgeschaltet werden kann, den Zugriff beschränken: Beschränken Sie den Webmail-Zugriff aus dem Internet. Oder lassen Sie eine vorgeschaltete Web Application Firewall (WAF) POST-Anfragen an /ibe blockieren, die ../ enthalten.
2. Nach Spuren suchen: Suchen Sie in Protokollen und Konfiguration nach den unten genannten Kompromittierungsindikatoren (IoCs).
3. Sofort aktualisieren, sobald Korrekturen erscheinen: Wenn 8.0.2, 7.6.7 oder 7.4.9 erscheint, aktualisieren Sie je nach Zweig. Sichern Sie vorher die Konfiguration.
4. Bei Verdacht Incident Response einleiten: Isolieren Sie das Gerät, sichern Sie Protokolle und Konfiguration und ändern Sie die Admin-Passwörter sowie alle anderen auf dem Gerät gespeicherten Passwörter.
5. Datenschutzpflichten prüfen: Wurde auf personenbezogene Daten wie E-Mail-Inhalte zugegriffen, können Meldepflichten gelten. In der Türkei erwartet die KVKK eine Meldung an die Datenschutzbehörde innerhalb von 72 Stunden nach Kenntnis der Verletzung.

Workarounds ersetzen das Update nicht. Sie senken das Risiko nur, bis eine korrigierte Version verfügbar ist.

Kompromittierungsindikatoren (IoCs)

• IP-Adresse: 79.141.169.187
• IP-Adresse: 45.129.0.192
• Ein entferntes „archive account“ (Archivkonto), das auf 79.141.169.187 zeigt

Suchen Sie in den Protokollen nach Verbindungen von diesen IP-Adressen. Enthalten die Archivierungseinstellungen ein entferntes Archivkonto, das Sie nicht angelegt haben, betrachten Sie das Gerät als kompromittiert.

Dieser Hinweis wird aktualisiert

Wir aktualisieren diesen Hinweis, sobald Fortinet die korrigierten Versionen (8.0.2, 7.6.7 und 7.4.9) veröffentlicht.

Wie kann Doğa Network helfen?

Unser Team unterstützt Sie bei der Prüfung von FortiMail-Versionen und -Konfiguration, beim Beschränken von IBE- und Webmail-Zugriff, bei der Untersuchung einer möglichen Kompromittierung und bei der geplanten Aktualisierung, sobald korrigierte Versionen vorliegen. Sie erreichen uns unter +90 850 888 3642 oder per E-Mail an hi@doga.network.

Quellen

• Fortinet PSIRT – FG-IR-26-175
• BleepingComputer – Fortinet warns of critical FortiMail flaw exploited in zero-day attacks
• Centre for Cybersecurity Belgium (CCB) – Warning: actively exploited FortiMail vulnerability
• CISA – Eine ausgenutzte Schwachstelle in den KEV-Katalog aufgenommen (1. Oktober 2026)