Path-Traversal-Schwachstelle in FortiMail ermöglicht Codeausführung ohne Authentifizierung (CVE-2026-126147)

Was passiert ist

Bei CVE-2026-126147 handelt es sich um eine Path-Traversal-Schwachstelle (CWE-22) in FortiMail. Ein nicht authentifizierter Angreifer kann manipulierte Anfragen senden, mit denen er Verzeichnisbeschränkungen umgeht und unbefugt Code oder Befehle ausführt. Die Bewertung nach CVSS 3.1 liegt bei 9,8 (kritisch), weil die Schwachstelle über das Netzwerk erreichbar ist, die Angriffskomplexität gering ist, keine Berechtigungen und keine Benutzerinteraktion erforderlich sind und die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit hoch sind.

Der CVE-Eintrag verzeichnet keine Ausnutzung, und Fortinet hat nicht mitgeteilt, dass die Schwachstelle ausgenutzt wird oder dass Einzelheiten öffentlich bekannt gemacht wurden. Im PSIRT-Sicherheitshinweis FG-IR-26-199 von Fortinet sind zum Zeitpunkt der Veröffentlichung weder eine korrigierte Version noch eine Problemumgehung aufgeführt.

Wer betroffen ist

Das betroffene Produkt ist FortiMail. Betroffen sind die folgenden Versionen:

• FortiMail 8.0.0 bis 8.0.1
• FortiMail 7.6.0 bis 7.6.6
• FortiMail 7.4.0 bis 7.4.8
• FortiMail 7.2.0 bis 7.2.9

Wenn Sie eine dieser Versionen einsetzen, behandeln Sie das System so lange als potenziell für nicht authentifizierte Angreifer erreichbar, bis Sie bestätigen können, dass der Netzzugang eingeschränkt ist.

Was jetzt zu tun ist

1. Prüfen Sie, ob Ihre FortiMail-Verwaltungs- oder Benutzeroberflächen aus dem Internet erreichbar sind. Entfernen Sie die öffentliche Erreichbarkeit, wo sie nicht zwingend erforderlich ist.
2. Beschränken Sie den Zugriff auf FortiMail auf vertrauenswürdige interne Netze, ein VPN oder einen Jump-Host.
3. Wenn das System weiterhin über das Netzwerk erreichbar sein muss, setzen Sie kompensierende Netzwerkmaßnahmen ein und überwachen Sie Zugriffs- und Administrationsprotokolle engmaschig.
4. Beobachten Sie den PSIRT-Sicherheitshinweis FG-IR-26-199 von Fortinet im Hinblick auf eine korrigierte Version oder eine Problemumgehung – bislang ist keine aufgeführt.

Über den Patch hinaus

Da die Schwachstelle ohne Anmeldedaten über das Netzwerk erreichbar ist, stellt sich sofort die Frage, ob FortiMail in Ihrer Umgebung an irgendeiner Stelle exponiert ist. Mit Virtual CISO Services unterstützen wir Sie beim Management der Angriffsfläche für aus dem Internet erreichbare Dienste. Mit Lieferkettenschutz & Drittparteienrisiko lassen sich die Patchzyklen der Hersteller für Produkte verfolgen, auf die Sie angewiesen sind. Ein Penetrationstest ist der direkteste Weg, ähnliche nicht authentifizierte Path-Traversal- oder Injection-Probleme zu finden, bevor sie offengelegt werden.