Kritische Path-Traversal-Lücke in Fortinet FortiMail (CVE-2026-104286)

Zusammenfassung

In Fortinet FortiMail wurde die kritische Schwachstelle CVE-2026-104286 (CVSS 9.8, FG-IR-26-175) entdeckt. Eine fehlerhafte Begrenzung eines Pfadnamens (Path Traversal, CWE-22, zusätzlich CWE-158) erlaubt es einem unauthentifizierten Angreifer, über manipulierte HTTP- oder HTTPS-Anfragen beliebige Dateien auf dem System zu schreiben und so Code auszuführen. Fortinet meldet, dass die Schwachstelle bereits in freier Wildbahn ausgenutzt wird. Kunden wird dringend empfohlen, sofort den Workaround umzusetzen.

Technische Details

• CVE-ID: CVE-2026-104286
• PSIRT: FG-IR-26-175
• CVSSv3 Score: 9.8 (Critical, Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:P/RL:O/RC:C)
• Schweregrad: Critical
• Komponente: FortiMail GUI
• Angriffstyp: Unauthenticated, Remote über HTTP/HTTPS
• Auswirkung: Schreiben beliebiger Dateien, Ausführung nicht autorisierter Codes/Befehle
• CWE: CWE-22 (Path Traversal), CWE-158 (Improper Neutralization of NULL Byte)
• Bekannte Ausnutzung: Ja, wird aktiv ausgenutzt
• Entdeckung: Intern durch Gwendal Guégniaud, Fortinet Product Security Team

Angreifer können ohne Authentifizierung speziell präparierte Anfragen an die Weboberfläche senden und so die Pfadprüfung umgehen. Laut Fortinet wurden dabei unter anderem folgende IoCs beobachtet: zusätzliche Dateien wie /data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice, /data/etc/ld.so.preload, Änderungen an /bin/smit, /data/etc/httpd.conf und /data/migadmin.tar.gz sowie Verbindungen zu 79.141.169.187 und 45.129.0.192.

Betroffene Systeme

• Fortinet FortiMail 8.0.0 bis 8.0.1 (Fix: Upgrade auf kommendes 8.0.2 oder höher)
• Fortinet FortiMail 7.6.0 bis 7.6.6 (Fix: Upgrade auf kommendes 7.6.7 oder höher)
• Fortinet FortiMail 7.4.0 bis 7.4.8 (Fix: Upgrade auf kommendes 7.4.9 oder höher)
• Fortinet FortiMail 7.2.0 bis 7.2.9 (Fix: Upgrade auf Branch 7.4 oder höher)
• Laut EUVD zusätzlich gemeldet: Fortinet FortiMail 7.6.0 bis 7.6.5, 7.0.0 bis 7.0.9, 8.0.0, 7.2.0 bis 7.2.9, 7.4.0 bis 7.4.6

Hersteller: Fortinet

Empfehlungen und Maßnahmen

Da die finalen Patches für 8.0.2, 7.6.7 und 7.4.9 zum Veröffentlichungszeitpunkt (01.10.2026) noch als „upcoming“ angekündigt sind, sofort Workaround umsetzen:

1. IBE-Feature deaktivieren (CLI):

   config system encryption ibe
   set status disable
   end

2. Management-Zugriff einschränken: Zugriff auf das FortiMail-Management-Interface aus dem Internet deaktivieren oder nur aus vertrauenswürdigen privaten Netzen erlauben.
3. Upgrade planen: Sobald verfügbar auf 8.0.2+, 7.6.7+, 7.4.9+ aktualisieren; FortiMail 7.2 auf Branch 7.4 oder höher migrieren.
4. Kompromittierung prüfen: IoCs (Dateien, Hashes, IPs, Logs) kontrollieren, z. B. unbekannte Archive-Accounts (wie ‚archive234‘), verdächtige cron-Jobs (/migadmin) und IBE-Decrypter-Fehler im Log.
5. Netzwerk-Monitoring: Eingehende HTTP/HTTPS-Anfragen an FortiMail auf Traversal-Muster überwachen und IPS/Virtual Patching – falls verfügbar – aktivieren.

Bei Verdacht auf Kompromittierung System isolieren, forensisch sichern und Fortinet-Support kontaktieren.

Quellen

• https://fortiguard.fortinet.com/psirt/FG-IR-26-175