Ungesicherte Dateischreiben durch die Hinterklappe eines Mail-Gateways — FortiMail Zero-Day CVE-2026-104286 und die IBE-Funktion
Fortinet hat am 1. Oktober einen Path-Traversal-Zero-Day in FortiMail (CVE-2026-104286, CVSS 9.8) offengelegt, der unauthorisierte Schreiboperationen beliebiger Dateien erlaubt, und die Ausnutzung in the wild bestätigt. CISA hat ihn am selben Tag in den KEV-Katalog aufgenommen mit einer Bundesfrist vom 4. Oktober. Für keine der vier betroffenen Branches existiert ein gefestigtes Release, daher ist die IBE-Deaktivierung der vorübergehende Weg — wir stellen sie dem späten September-KEV-Anstieg gegenüber.
Dieser Artikel wurde maschinell übersetzt.
Am 1. Oktober 2026 hat Fortinet CVE-2026-104286 in FortiMail über die PSIRT-Mitteilung FG-IR-26-175 offengelegt. Die Schwachstelle kombiniert eine unzureichende Beschränkung des Dateinamens auf ein bestimmtes Verzeichnis (Path Traversal, CWE-22) mit einer unzureichenden Neutralisierung von NULL-Bytes (CWE-158): Ein unauthorisierter Angreifer kann über angepasste HTTP- oder HTTPS-Anfragen beliebige Dateien auf dem zugrundeliegenden System schreiben. Der CVSS v3.1-Score aus der NVD beträgt 9.8 (CRITICAL, gemeldet durch Fortinet PSIRT als CNA). Vier Release-Zweige sind betroffen: FortiMail 8.0.0–8.0.1 (Aufruf auf das bevorstehende 8.0.2 oder höher), 7.6.0–7.6.6 (bevorstehendes 7.6.7 oder höher), 7.4.0–7.4.8 (bevorstehendes 7.4.9 oder höher) und 7.2.0–7.2.9 (Aufruf auf Zweig 7.4 oder höher). Stand 2. Oktober sind die Fixes für die drei neueren Zweige weiterhin als 'bevorstehend' markiert; für den 7.2-Zweig ist kein gefestigtes Release geplant. Fortinet stellt fest, dass die Schwachstelle 'als in the wild ausgenutzt gemeldet wurde', und fordert Kunden auf, die Workaround-Maßnahme anzuwenden: die IBE-Funktion (Internet Based Encryption) über die GUI (Encryption -> IBE -> IBE Service 'off') oder die CLI (config system encryption ibe / set status disable) deaktivieren; alternativ den Internet-Zugriff auf die FortiMail-Webmail-Oberfläche deaktivieren oder auf vertrauenswürdiges privates Netz beschränken, oder bei einer WAF davor POST-Anfragen an /ibe mit '../' blockieren. Fortinet veröffentlichte außerdem zwei Quell-IPs sowie Beispiele aus System- und Verschlüsselungslogs als IoC und vermerkt, dass Gwendal Guégniaud vom Fortinet Product Security Team die Schwachstelle intern gefunden hat (FG-IR-26-175).
CISA hat die Schwachstelle am 1. Oktober in seinen KEV-Katalog aufgenommen und zivilen Bundesbehörden bis zum 4. Oktober — heute — Zeit zur Reaktion gegeben (BOD 26-04, drei Tage ab der Aufnahme). Die KEV-Hinweise verlangen die Anwendung von vom Hersteller angeordneter Milderung gemäß BOD 26-04 und den CISA-Forensik-Triage-Anforderungen; forensicTriage ist mit Yes markiert. Die IoC von Fortinet enthalten Einträge der Verschlüsselungslogs aus IBE-Entschlüsselungsfehlern, was nahelegt, dass der Ausnutzungsweg über die IBE-Oberfläche verläuft; Fortinet hat den Angriffsvektor nicht offiziell beschrieben, also ist das eine Einordnung, keine Tatsache (Einordnung und Fakten sind unten getrennt). Die jüngsten KEV-Zugänge zeigen 17 Einträge zwischen dem 20. September und dem 2. Oktober: Zyxel GS1900 (CVE-2026-7273), Arista VeloCloud Orchestrator (CVE-2026-93952), F5 BIG-IP APM (CVE-2026-94127), zwei Check-Point-Managementserver-Schwachstellen (CVE-2026-93616 / CVE-2026-85102), WSO2 (CVE-2026-5430), Adobe Commerce und Magento (CVE-2026-71362), MikroTik RouterOS (CVE-2026-67279), Microsoft SharePoint (CVE-2026-65660), WordPress Core (CVE-2026-87902), zwei Citrix NetScaler-Schwachstellen (CVE-2026-88772 / CVE-2026-88771), Cisco Catalyst SD-WAN Manager (CVE-2026-76504), Apple (CVE-2026-86950), diese FortiMail-Schwachstelle (CVE-2026-104286) und zwei Zammad-Schwachstellen (CVE-2026-102490 / CVE-2026-102489) — viele davon Management- oder Funktionsinterfaces auf Grenzgeräten (CISA KEV-Katalog, 2026.10.02).
Analyse (getrennt von den Fakten): Was Aufmerksamkeit verdient, ist, dass unautorisierter Zugriff auf ein nicht-authentifizierte Interface direkt in einem root-level-Dateischreiben landet. Der Cisco SEG Zero-Day, den diese Beobachtungsstelle am 15. September behandelt hat (CVE-2026-76461), ist fast die gleiche Form: unautorisierter Request-Verarbeitung in einem Mail-Gateway, der per SQL-Injection zur root-Ausführung führt, ebenfalls mit in-the-wild-Ausnutzung bestätigt und anschließender KEV-Aufnahme. Zwei Zero-Days auf Geräten, die die Rolle des Mail-Gateways teilen, sind innerhalb von drei Wochen in KEV gelandet, und Ziel ist in beiden Fällen ein Funktionsinterface am Gateway, nicht der Mailpfad selbst. IBE ist eine E-Mail-Verschlüsselungsfunktion, die viele Bereitstellungen nur für eine enge Sende-Gruppe aktiviert haben mögen; wo sie aktiviert ist, kann ihr Interface als Nebeneffekt dauerhaft vom Internet erreichbar bleiben. Eine einzelne Funktion hinterlässt einen unauthorisierten Eingangspunkt — das ist der strukturelle Punkt. Die Notiz von Fortinet, dass der Defekt intern gefunden wurde, ist das gleiche Muster wie die F5 BIG-IP APM-Schwachstelle (CVE-2026-94127) und kann eine stille Ausnutzungsphase vor der Offenlegung andeuten. Dass es für den 7.2-Zweig kein gefestigtes Release gibt, bedeutet, dass diese Standorte nicht einfach 'patchen' können, bevor die Frist vom 4. Oktober abläuft: Die Entscheidung lautet, den Zweig zu wechseln oder die Funktion zu schalten.
Folgerungen für die Abwehr: (1) Wo IBE nicht genutzt wird, ist die Deaktivierung über GUI oder CLI der höchste Punkt — genau die 'vom Hersteller angeordnete Milderung', die die CISA-KEV-Hinweise meinen. (2) Wo IBE genutzt wird, blockieren sie auf der WAF POSTs an /ibe mit '../', oder beschränken den Webmail-Zugriff auf vertrauenswürdiges privates Netz; beides sind vorübergehende Maßnahmen, die sie mit dem finalen Release kombinieren. (3) Führen sie Erkennung nach den Fortinet-IoC durch (das per cron gestartete /bin/sh -c und das archive-Konto-Hinzufügen in den Systemlogs, die IBE-Entschlüsselungsausnahme in den Verschlüsselungslogs) und prüfen parallel die Firewall-/NetFlow-Historie für Verkehr nach /ibe, von der Prämisse ausgehend, dass die eigenen Logs des Geräts möglicherweise keine Primärquelle mehr sind. (4) Für Standorte auf dem 7.2-Zweig: starten sie jetzt den Migrationsplan auf 7.4 oder höher; ohne gefestigtes Release beschränkt sich die Frist-Strategie auf Migration oder Isolation. (5) Bei der Grenzgeräte-Inventur prüfen sie die öffentliche Exposition einzelner Funktionsinterfaces wie IBE erneut. Die beiden Citrix NetScaler-Einträge (am 27. September aufgenommen) und der Cisco Catalyst SD-WAN Manager-Eintrag (am 30. September) gehören zum selben KEV-Zugangslauf mit demselben dreitägigen Fenster. Die Fakten stützen sich auf die Fortinet-Mitteilung FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175), den CISA KEV-Katalog (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) und den NVD CVE-Nachricht (https://nvd.nist.gov/vuln/detail/CVE-2026-104286). Die Analyse bleibt von der Berichterstattung getrennt.