Security Alert · Schwachstelle

FortiMail: Zero‑Day-Lücke ermöglicht Übernahme der Appliance

Risikostufe

Hoch

Kategorie

Schwachstelle

Betroffene Systeme

FortiMail 8.0.0 bis 8.0.1
FortiMail 7.6.0 bis 7.6.6
FortiMail 7.4.0 bis 7.4.8
FortiMail 7.2.0 bis 7.2.9
FortiMail 7.0 (alle Versionen)

Abhilfe verfügbar

Ja: FortiMail 8.0.2, 7.6.7 und 7.4.9; für 7.2 ist 7.2.10 angekündigt; 7.0 auf eine korrigierte Version migrieren (Fortinet FG-IR-26-175, Stand 07.10.2026). FortiMail Cloud wurde am 05.10.2026 vom Hersteller aktualisiert.

Quelle

Fortinet PSIRT, heise online

Was ist passiert?

Fortinet hat am 01.10.2026 eine Path-Traversal-Lücke in FortiMail veröffentlicht (CVE-2026-104286). Angreifer aus dem Internet können ohne Anmeldung mit präparierten Anfragen beliebige Dateien auf das Gerät schreiben und so die Kontrolle übernehmen. Die Lücke wurde bereits vor dem Update ausgenutzt, die US-Behörde CISA warnt ebenfalls.

Wer ist betroffen?

Unternehmen, die FortiMail als E-Mail-Gateway betreiben, besonders wenn die Weboberfläche aus dem Internet erreichbar ist.

Wie hoch ist das Risiko?

Hoch. CVSS 9.8 („kritisch“), keine Anmeldung nötig, aktive Angriffe. Das Gateway sieht den gesamten E-Mail-Verkehr, eine Übernahme ist daher besonders kritisch.

So schützen Sie sich

1. FortiMail auf 8.0.2, 7.6.7 oder 7.4.9 aktualisieren; für 7.2 das angekündigte 7.2.10 einspielen, 7.0 migrieren.
2. Die Webmail-Oberfläche laut Fortinet nicht aus dem Internet erreichbar machen oder auf vertrauenswürdige Netze beschränken.
3. Falls ein Update noch nicht möglich ist: die Funktion für identitätsbasierte Verschlüsselung (IBE) laut Fortinet deaktivieren.
4. Die von Fortinet genannten Anzeichen für einen Angriff (IOC) prüfen und bei Treffern den Vorfall behandeln.

Quellen

• Fortinet PSIRT: Advisory FG-IR-26-175 (CVE-2026-104286), 01.10.2026
• heise online: Angriffe auf FortiMail-Zero‑Day-Lücke beobachtet, 02.10.2026

Mehr zum Thema

• Netzwerk & Firewall
• IT-Security-Check
• Alle Security Alerts

Stand: 30.10.2026