Die Funktion Identity-Based Encryption (IBE) von FortiMail prüft Dateipfade in HTTP-Anfragen unzureichend: Mit Verzeichniswechseln und eingeschleusten NULL-Bytes kann ein Angreifer ohne Anmeldung beliebige Dateien auf das Mail-Gateway schreiben – und damit eigenen Code ausführen. Fortinet hat die Lücke am 1. Oktober 2026 als bereits ausgenutzten Zero-Day gemeldet; am selben Tag hat CISA sie in den Katalog aktiv ausgenutzter Schwachstellen aufgenommen – mit forensischer Triage-Pflicht. Seit dem 5. Oktober stehen die korrigierten Versionen 8.0.2, 7.6.7 und 7.4.9 bereit; bis zum Update schützt nur der Workaround.
Advisory als PDF herunterladenFortiMail verarbeitet über die Webschnittstelle der Funktion Identity-Based Encryption (IBE) Anfragen, die Dateipfade enthalten. Die Prüfung, ob diese Pfade im vorgesehenen Verzeichnis bleiben, lässt sich mit Verzeichniswechseln (../, CWE-22) und eingeschleusten NULL-Bytes (CWE-158) aushebeln. Ein Angreifer kann so ohne Zugangsdaten und ohne Nutzerinteraktion beliebige Dateien auf das zugrunde liegende System schreiben – etwa Bibliotheken, Programme oder Konfigurationsdateien des Webservers – und erreicht damit Codeausführung auf dem Gateway. Erreichbar ist die Lücke überall dort, wo IBE aktiv und die Weboberfläche aus dem Internet zugänglich ist.
| Produkt / Zweig | Verwundbar | Fixversion |
|---|---|---|
| FortiMail 8.0 | 8.0.0 – 8.0.1 | 8.0.2 |
| FortiMail 7.6 | 7.6.0 – 7.6.6 | 7.6.7 |
| FortiMail 7.4 | 7.4.0 – 7.4.8 | 7.4.9 |
| FortiMail 7.2 | 7.2.0 – 7.2.9 | Migration auf Zweig 7.4 oder höher |
Fortinet hat die korrigierten Versionen 8.0.2 / 7.6.7 / 7.4.9 mit dem Advisory-Update vom 05.10.2026 („Solution update“) nachgereicht. Für Zweig 7.2 gibt es keinen eigenen Fix – Migration auf 7.4 oder höher. Der maschinenlesbare CVE-Record weicht bei Versionsgrenzen und Fixständen vom Advisory-Text ab – maßgeblich ist FG-IR-26-175. Bis zum Update bleibt der Workaround (IBE abschalten bzw. Weboberfläche abschotten) Pflicht.
Regulatorischer Hinweis: Ein übernommenes Mail-Gateway mit Zugriff auf Postfachinhalte ist in der Regel eine meldepflichtige Verletzung – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung, Forensik und Dokumentation.
In dieser Reihenfolge – Workaround sofort, Patch zügig, Prüfung vor Entwarnung.
/ibe mit Verzeichniswechseln blockieren.config system encryption ibe · set status disable · end8.0.2 · 7.6.7 · 7.4.9 aktualisieren; für Zweig 7.2 gibt es keinen eigenen Fix – Migration auf 7.4 oder höher einplanen. Vorher Konfigurationssicherung ziehen./data/bin/ und /data/lib/, veränderter httpd.conf und einer ld.so.preload suchen, Logs auf die IoCs prüfen, neue Archivkonten kontrollieren. CISA verlangt hier eine forensische Triage.79.141.169.18745.129.0.192/data/bin/ und /data/lib/httpd.conf, neue ld.so.preload/ibe mit ../Zur Einordnung: Die IP-Adressen und Log-Hinweise stammen aus dem Fortinet-Advisory, die Dateipfade aus Analysen von Sicherheitsdienstleistern (u. a. Truesec). Infrastruktur und Dateinamen sind trivial änderbar – belastbarer als die Suche nach einzelnen Indikatoren ist die Frage, ob IBE auf dem Gerät aus dem Internet erreichbar war.
Wichtig: Ein Angriff über IBE hinterlässt keinen Anmeldevorgang. Wer nur Authentifizierungs-Ereignisse überwacht, sieht die Übernahme nicht – ein Patch allein beweist nicht, dass niemand drin ist.
Fortinet PSIRT Advisory FG-IR-26-175 · CVE-Record CVE-2026-104286 (Fortinet als CNA) · NVD CVE-2026-104286 · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 01.10.2026) · Truesec, Analyse zu CVE-2026-104286 · watchTowr, FAQ zu CVE-2026-104286. Angaben nach bestem Wissen zum Stand 12.10.2026 (FG-IR-26-175, letzte Revision 07.10.2026) – gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Unerwartete Dateiänderungen und Prozesse auf dem Mail-Gateway sowie neue Archiv- oder Weiterleitungsregeln ohne Change. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.