FortiMail: Schwache Passwort-Wiederherstellung ermöglicht Kontoübernahme ohne Authentifizierung (CVE-2026-126150)

Was passiert ist

Fortinet FortiMail enthält einen schwachen Mechanismus für die Wiederherstellung vergessener Passwörter (CWE-640) bei IBE-Webmail-Konten. Ein nicht authentifizierter Angreifer, der die Webmail-Oberfläche über das Netzwerk erreichen kann, kann speziell gestaltete HTTP-Anfragen senden, um das Passwort eines beliebigen IBE-Webmail-Nutzers zurückzusetzen und das Konto zu übernehmen. Weder Zugangsdaten noch eine Benutzerinteraktion sind erforderlich.

Der CVSS-3.1-Wert liegt bei 9,1, mit hohen Auswirkungen auf die Vertraulichkeit und die Integrität und ohne Auswirkungen auf die Verfügbarkeit. Der CVE-Eintrag meldet weder eine aktive Ausnutzung noch eine öffentliche Offenlegung; die Schwachstelle ist außerdem nicht im KEV-Katalog der CISA aufgeführt.

Wer betroffen ist

Der CVE-Eintrag führt FortiMail 8.0.0, 7.6.0–7.6.5, 7.4.0–7.4.7 und 7.2.0–7.2.9 auf. Die betroffene Komponente ist die Wiederherstellung vergessener Passwörter im IBE-Webmail. Organisationen, die eine dieser Versionen betreiben und bei denen IBE-Webmail aktiviert oder erreichbar ist, sollten dies als unmittelbar relevant einstufen.

Was jetzt zu tun ist

1. Ermitteln Sie die Exposition: Lokalisieren Sie FortiMail-Systeme in den betroffenen Versionsbereichen und prüfen Sie, ob IBE-Webmail aktiviert und erreichbar ist – insbesondere aus dem Internet.
2. Beschränken Sie den Zugriff auf die IBE-Webmail-Oberfläche von FortiMail auf vertrauenswürdige Netzwerke oder authentifizierte Zugangswege wie VPN oder SSO; entfernen Sie, wo möglich, die direkte Erreichbarkeit aus dem Internet.
3. Überprüfen Sie im IBE-Webmail die Aktivitäten zur Passwort-Zurücksetzung und Anmeldung auf unerwartete Zurücksetzungen oder Kontoänderungen.
4. Verfolgen Sie den PSIRT-Sicherheitshinweis von Fortinet zu dieser CVE. Im CVE-Eintrag ist bisher weder eine korrigierte Version noch eine Problemumgehung des Herstellers aufgeführt.

Wie man es erkennt

Der CVE-Eintrag veröffentlicht keine spezifischen Kompromittierungsindikatoren. Da die Schwachstelle im Ablauf der Passwort-Wiederherstellung liegt, prüfen Sie im IBE-Webmail die Ereignisse zur Passwort-Zurücksetzung und Anmeldung auf: vom Kontoinhaber nicht angeforderte Zurücksetzungen, Anmeldungen von unerwarteten Standorten kurz nach einer Zurücksetzung sowie Änderungen an den Wiederherstellungsdetails.

Über den Patch hinaus

Hier verbinden sich das Risiko der Exposition und das Risiko, das sich aus den Patch-Zyklen des Anbieters ergibt: Eine kritische Schwachstelle in der Passwort-Wiederherstellung des IBE-Webmail-Dienstes von FortiMail ist ohne Zugangsdaten über das Netzwerk erreichbar, und da noch keine korrigierte Version aufgeführt ist, bleibt das Zeitfenster der Gefährdung offen. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, aus dem Internet erreichbare FortiMail-Schnittstellen zu identifizieren und zu reduzieren, bevor ein solcher Sicherheitshinweis erscheint. Mit Lieferkettenschutz und Drittanbieterrisiken verfolgen Sie die Patch-Zyklen Ihrer Anbieter und erkennen, welche Software ohne aktuelle Sicherheitsupdates Sie betreiben und wie lange dies bereits der Fall ist.