FortiMail: Fehlerhafte Authentifizierung ermöglicht nicht authentifizierten Zugriff auf sichere E-Mail-Konten anderer Nutzer (CVE-2026-126157)

Was passiert ist

Ein nicht authentifizierter Angreifer kann manipulierte HTTP-Anfragen an eine anfällige FortiMail-Instanz senden und so Zugriff auf sichere E-Mail-Konten anderer Nutzer erlangen. Die Schwachstelle ist über das Netzwerk erreichbar, erfordert keine Privilegien und keine Nutzerinteraktion. Der CVSS-v3.1-Vektor stuft sie als kritisch ein; die Auswirkungen auf Vertraulichkeit und Integrität sind hoch.

Fortinet hat nicht mitgeteilt, dass diese Schwachstelle aktiv ausgenutzt oder öffentlich bekannt gegeben wurde. Zum Zeitpunkt der Erstellung dieses Textes ist sie nicht im KEV-Katalog der CISA aufgeführt.

Wer betroffen ist

Betroffen sind die FortiMail-Versionen 8.0.0 bis 8.0.1, 7.6.0 bis 7.6.6, 7.4.0 bis 7.4.8, 7.2.0 bis 7.2.9 und 7.0.0 bis 7.0.9. FortiMail wird üblicherweise als E-Mail-Sicherheits-Gateway vor den Mail-Servern eingesetzt; diese Geräte liegen daher häufig im Netzwerkpfad des externen E-Mail-Verkehrs. Eine korrigierte Version ist bisher nicht aufgeführt.

Was jetzt zu tun ist

1. Stellen Sie fest, ob Sie eine der oben genannten betroffenen FortiMail-Versionen einsetzen.
2. Schränken Sie bis zur Veröffentlichung einer korrigierten Version durch Fortinet den Netzwerkzugriff auf die HTTP-basierte Schnittstelle von FortiMail auf vertrauenswürdige Netzwerke und Nutzer ein.
3. Überwachen Sie sichere E-Mail-Konten auf unerwartete Zugriffe, Änderungen an Postfachregeln oder Weiterleitungsänderungen.
4. Prüfen Sie den Sicherheitshinweis von Fortinet auf Aktualisierungen und spielen Sie eine korrigierte Version ein, sobald eine korrigierte Version veröffentlicht wird.

Wie man es erkennt

Erfassen Sie alle FortiMail-Instanzen und gleichen Sie die Versionen mit der Liste der betroffenen Versionen ab. Überwachen Sie die Zugriffsprotokolle sicherer E-Mail-Konten auf unerwartete Quelladressen, Zugriffszeiten oder Änderungen an den Kontoeinstellungen. In den verfügbaren Informationen des Sicherheitshinweises werden keine spezifischen Indikatoren für eine Kompromittierung genannt.

Über den Patch hinaus

Da diese Schwachstelle ohne Zugangsdaten über das Netzwerk erreichbar ist, ist die Angriffsfläche ebenso wichtig wie der noch fehlende Patch. Mit Virtual CISO Services (vCISO) lassen sich exponierte FortiMail-Schnittstellen erfassen, und mit Implementierungs- und Bewertungsleistungen lassen sich Authentifizierungsschwächen wie CWE-287 prüfen, bevor daraus Sicherheitshinweise werden. Solange noch keine korrigierte Version verfügbar ist, ist die Beobachtung der Patch-Veröffentlichungen von Fortinet eine Aufgabe des Drittanbieter-Risikomanagements, die wir mit Lieferkettenschutz und Drittanbieterrisiko abdecken.