CVE-2026-104286: Management-Schnittstellen von Fortinet FortiMail aktiv ausgenutzt

CVE-2026-104286 (CVSS 9,8, EPSS ≥ 82. Perzentil) ist eine kritische Path-Traversal-Schwachstelle [CWE-22] in Verbindung mit einer fehlerhaften Verarbeitung von NULL-Bytes [CWE-158] und betrifft Fortinet FortiMail. Eine Ausnutzung ist über HTTP/HTTPS-Anfragen an die Weboberfläche von FortiMail möglich. Die Schwachstelle wurde am 1. Oktober 2026 sowohl veröffentlicht als auch in die KEV-Liste der CISA aufgenommen. Eine erfolgreiche Ausnutzung ermöglicht das Schreiben beliebiger Dateien mit Root-Rechten, Remote Code Execution (RCE) sowie die unbefugte Ausführung von Befehlen. Zudem kann eine Ausnutzung zu Denial-of-Service-Zuständen (DoS), zum Diebstahl sensibler Informationen, zu Business Email Compromise (BEC) oder zum weiteren Vordringen in das IT-Netzwerk der betroffenen Organisation führen. Derzeit sind weder eine detaillierte Code-Analyse noch Proof-of-Concept-Exploit-Code (PoC) öffentlich verfügbar. Zahlreiche nationale CERTs haben Warnungen zu CVE-2026-104286 veröffentlicht [1][2][3][4][5][6][7][8][9][10][11][12][13][14].

Risikobewertung für CVE-2026-104286 in Fortinet FortiMail

CVSS 9,8 · KritischEPSS 2,2 % (82.)Aktiv ausgenutztIn CISA KEV

FortiMail ist eine E-Mail-Sicherheitslösung, die als physische oder virtuelle Appliance bereitgestellt wird. Das Produkt soll Organisationen vor Phishing, Business Email Compromise (BEC) und Malware schützen. Eine ausnutzbare Software-Schwachstelle in FortiMail könnte wichtige E-Mail-Sicherheitskontrollen stören, zu Datendiebstahl führen und es Angreifenden ermöglichen, sich dauerhaft im Netzwerk der betroffenen Organisation festzusetzen.

Ein dauerhafter Zugriff auf ein FortiMail-Gerät ermöglicht es Angreifenden, E-Mails mitzulesen, die das Gerät durchlaufen, oder frühere E-Mails auszulesen, sofern das Gerät zur Archivierung von E-Mails konfiguriert ist. Außerdem können sich Angreifende, die sich dauerhaft im Netzwerk festgesetzt haben, unter Umständen lateral zu weiteren erreichbaren Systemen im selben Netzwerk bewegen. Ist ein kompromittiertes Gerät aus dem öffentlichen Internet erreichbar, könnte es als Proxy für weitere Cyberangriffe weltweit missbraucht werden.

CVE-2026-104286 birgt ein besonders hohes Risiko, da sie ohne Authentifizierung aus der Ferne ausgenutzt werden kann. Laut Fortinet ermöglicht CVE-2026-104286 das „Schreiben beliebiger Dateien“, was darauf hindeutet, dass Angreifende auf Dateien mit Root-Rechten zugreifen können. Zwar enthielten die ursprünglichen Angaben von Fortinet zu Indicators of Compromise (IoC) eine Liste hinzugefügter Dateien sowie geänderter, stark privilegierter Dateien, diese wurden jedoch nachträglich entfernt.

Technische Details zu CVE-2026-104286 in Fortinet FortiMail

Zu CVE-2026-104286 liegen nur begrenzt technische Details vor. Das Advisory FG-IR-26-175 von Fortinet weist darauf hin, dass die Webmail-Oberfläche von FortiMail die betroffene Angriffsfläche bereitstellt und dass die Schwachstelle Path Traversal [CWE-22] mit der unzureichenden Neutralisierung eines NULL-Bytes bzw. NULL-Zeichens [CWE-158] kombiniert. Eine Ausnutzung erlaubt es nicht authentifizierten Angreifenden, beliebige Dateien auf dem zugrunde liegenden System zu schreiben und unauthentifiziert RCE zu erreichen. Fortinets Beschreibung, „Schreiben beliebiger Dateien“, impliziert, dass ein Zugriff mit Root-Rechten möglich ist. Die offiziellen Workaround-Hinweise deuten zudem darauf hin, dass die IBE-Verschlüsselung (Identity Based Encryption) die betroffene Komponente ist.

Betroffenes Produkt und Abhilfemaßnahmen für CVE-2026-104286 in Fortinet FortiMail

Wer FortiMail einsetzt, sollte auf eine Version aktualisieren, in der die Schwachstelle behoben ist. Der 7.2.x-Zweig ist betroffen, es steht jedoch keine entsprechende behobene Version zur Verfügung. Der 7.2.x-Zweig hat am 10. Mai 2025 den Status End of Engineering Support (EOES) erreicht und wird am 10. November 2026 offiziell den Status End of Support (EOS) erreichen.

Fortinet empfiehlt als vorübergehende Gegenmaßnahme, die IBE-Verschlüsselung oder die gesamte Webmail-Oberfläche von FortiMail zu deaktivieren. Außerdem hat die CISA CVE-2026-104286 gemäß BOD 26-04 für eine forensische Triage markiert.

Betroffene Versionen	Behoben in
8.0.0 – 8.0.1	8.0.2
7.6.0 – 7.6.6	7.6.7
7.4.0 – 7.4.8	7.4.9
7.2.0 – 7.2.9	Kein Fix verfügbar

Zusammenfassung

CVE-2026-104286 ist eine kritische, aktiv ausgenutzte Schwachstelle in der IBE-Verschlüsselung von FortiMail, die über die Webmail-Oberfläche erreichbar ist. Die Schwachstelle lässt sich aus der Ferne ohne Authentifizierung über HTTP/HTTPS-Anfragen ausnutzen und ermöglicht Dateischreibzugriffe mit Root-Rechten sowie unauthentifizierte RCE. Eine Kompromittierung könnte zudem zu Business Email Compromise (BEC), unbefugtem Zugriff auf sensible E-Mail-Inhalte, DoS-Zuständen oder einem weiteren Eindringen in das Netzwerk führen.