SQL-Injection in FortiMail kann nicht authentifizierten Angreifern Codeausführung ermöglichen (CVE-2026-126164)

Was passiert ist

Der Sicherheitshinweis FG-IR-26-216 von Fortinet beschreibt eine SQL-Injection-Schwachstelle in FortiMail. Bei einer SQL-Injection-Schwachstelle kann eine manipulierte Anfrage dazu führen, dass die Anwendung Teile der Eingabe als SQL-Befehle und nicht als Daten interpretiert. Die Schwachstelle ist ohne Authentifizierung über das Netzwerk erreichbar und erfordert keine Benutzerinteraktion. Ein Angreifer, der eine verwundbare FortiMail-Schnittstelle erreichen kann, kann manipulierte Anfragen senden, die die Ausführung von unbefugtem Code oder unbefugten Befehlen ermöglichen können.

Der CVSS-3.1-Vektor bewertet die Schwachstelle mit 9,4 (kritisch). Die Auswirkungen auf Vertraulichkeit und Integrität sind hoch, die auf die Verfügbarkeit begrenzt. Fortinet hat nicht mitgeteilt, dass die Schwachstelle aktiv ausgenutzt wird, und sie ist nicht in CISA KEV aufgeführt. Der CVE-Eintrag wurde am 11. November 2026 veröffentlicht.

Wer betroffen ist

Fortinet führt die folgenden FortiMail-Versionen als betroffen auf:

• 8.0.0 bis 8.0.1
• 7.6.0 bis 7.6.6
• 7.4.0 bis 7.4.8
• 7.2.0 bis 7.2.9

FortiMail ist ein E-Mail-Sicherheitsgateway, das häufig dort eingesetzt wird, wo ein- und ausgehende E-Mails gefiltert werden. Organisationen, die eine dieser Versionen betreiben, sollten die Erreichbarkeit aus nicht vertrauenswürdigen Netzen als unmittelbares Problem betrachten.

Was jetzt zu tun ist

1. Schränken Sie die Netzwerkzugänglichkeit sofort ein. Da die Schwachstelle ohne Anmeldedaten oder Benutzerinteraktion über das Netzwerk erreichbar ist, stellen Sie sicher, dass die Verwaltungs- und E-Mail-Schnittstellen von FortiMail nicht aus nicht vertrauenswürdigen Netzen erreichbar sind. Beschränken Sie den Zugriff auf vertrauenswürdige Hosts oder ein VPN.
2. Beobachten Sie den Sicherheitshinweis FG-IR-26-216 von Fortinet. Fortinet hat bisher weder eine korrigierte Version noch eine Problemumgehung veröffentlicht.
3. Wenn FortiMail aus dem Internet erreichbar ist, setzen Sie kompensierende Netzwerkmaßnahmen wie Quelladressbeschränkungen und Zugriffsprotokollierung um, und prüfen Sie, ob das Gateway Verbindungen aus dem offenen Internet annehmen muss.
4. Betrachten Sie die oben genannten betroffenen Versionsbereiche als maßgeblich; Fortinet hat keine anderen Versionen als verwundbar benannt.

Wie man es erkennt

Fortinet hat für diese Schwachstelle keine Kompromittierungsindikatoren veröffentlicht. Beginnen Sie mit der Netzwerkzugänglichkeit: Prüfen Sie, ob eine Verwaltungs- oder E-Mail-Verarbeitungsschnittstelle von FortiMail aus dem Internet erreichbar ist. Da die Schwachstelle ohne Authentifizierung über das Netzwerk erreichbar ist, ist diese Erreichbarkeit die Voraussetzung, die ein Angreifer benötigen würde.

Über den Patch hinaus

Da diese Schwachstelle ohne Anmeldedaten über das Netzwerk erreichbar ist, lautet die erste Frage, ob FortiMail überhaupt aus dem Internet erreichbar ist. Mit Virtual CISO Services (vCISO) lassen sich diese Erreichbarkeit erfassen und die Eindämmung priorisieren, während sich mit Implementierungs- und Bewertungsleistungen SQL-Injection und weitergehende Härtungslücken prüfen lassen. Bis Fortinet korrigierte Versionen veröffentlicht, besteht die praktische Arbeit darin, die Erreichbarkeit zu verringern und zu überprüfen, wie das Gateway im Netzwerk positioniert ist.