Die API des E-Mail-Gateways FortiMail prüft Pfadangaben nicht ausreichend (Path Traversal). Ein Angreifer ohne Anmeldung kann dadurch mit präparierten Anfragen Code oder Befehle ausführen. Fortinet hat die Lücke am 10.11.2026 mit 8.0.2, 7.6.7 und 7.4.9 geschlossen; für den Zweig 7.2 gibt es keinen Fix, nur die Migration. Eine Ausnutzung ist bislang nicht bekannt.
Advisory als PDF herunterladenDie betroffene Komponente ist laut Fortinet die API von FortiMail. Sie begrenzt Pfadangaben nicht zuverlässig auf das vorgesehene Verzeichnis (CWE-22, Path Traversal). Ein nicht authentifizierter Angreifer kann so über präparierte Anfragen nicht autorisierten Code oder Befehle ausführen. Fortinet hat die Lücke intern gefunden und nennt keine weiteren technischen Details.
| Produkt · Zweig | Verwundbar | Fixversion |
|---|---|---|
| FortiMail 8.0 | 8.0.0 bis 8.0.1 | 8.0.2 |
| FortiMail 7.6 | 7.6.0 bis 7.6.6 | 7.6.7 |
| FortiMail 7.4 | 7.4.0 bis 7.4.8 | 7.4.9 |
| FortiMail 7.2 | alle Versionen | Migration auf einen behobenen Zweig |
Angaben laut Fortinet-Advisory FG-IR-26-199. Fortinet nennt keinen Workaround und keinen virtuellen Patch. Für FortiMail 7.2 gibt es keine Fixversion – nur die Migration auf einen behobenen Zweig. FortiMail Cloud wurde laut Fortinet bereits am 05.10.2026 behoben; Cloud-Kunden müssen nichts tun.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf das E-Mail-Gateway kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Erreichbarkeit vor Patch, Patch vor Entwarnung.
8.0.0–8.0.1, 7.6.0–7.6.6, 7.4.0–7.4.8 und alle 7.2-Versionen sind betroffen. Klären, von wo die Verwaltungs- und API-Schnittstelle erreichbar ist.8.0.2, 7.6.7 bzw. 7.4.9 oder neuer aktualisieren. Systeme auf 7.2 auf einen behobenen Zweig migrieren. Vorher ein Konfigurations-Backup sichern.../Zur Einordnung: Es liegen keine CVE-spezifischen Indikatoren vor. Die genannten Muster sind Ansatzpunkte für eine Auswertung, keine bestätigten Signaturen.
Wichtig: FortiMail sieht den gesamten ein- und ausgehenden Mailverkehr. Wer das Gateway übernimmt, kann Mails mitlesen, manipulieren und von dort ins Netz vordringen.
Fortinet PSIRT FG-IR-26-199 (10.11.2026, Fixversionen, CVSS 9,8) · NVD (CVSS 3.1 Basiswert 9,8, Quelle Fortinet als CNA) · CISA KEV (Stand 11.11.2026: nicht gelistet). Stand 11.11.2026. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Eine API-Anfrage an FortiMail mit Pfadsequenzen von einer unbekannten Adresse. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.