SQL-Injection in FortiMail kann unberechtigte Codeausführung ermöglichen (CVE-2026-126263)

Was passiert ist

Der CVE-Eintrag beschreibt eine SQL-Injection-Schwachstelle (CWE-89) in Fortinet FortiMail 8.0.0 bis 8.0.1, 7.6.0 bis 7.6.4 und 7.4.0 bis 7.4.6. Ein Angreifer kann speziell gestaltete Anfragen senden, um unbefugten Code oder unbefugte Befehle auszuführen.

Der CVSS-v3.1-Score beträgt 9,4 und wird als kritisch eingestuft. Der Vektor weist auf einen Netzwerkangriffsweg, geringe Komplexität, hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sowie keine erforderlichen Berechtigungen hin. Die CVE-Beschreibung nennt einen authentifizierten Angreifer; der Vektor setzt die erforderlichen Berechtigungen auf „keine“, und der Eintrag erklärt diese Abweichung nicht. Der CVE-Eintrag meldet weder eine aktive Ausnutzung noch eine öffentliche Offenlegung.

Wer betroffen ist

Die folgenden Versionen der E-Mail-Sicherheitsgateways von Fortinet FortiMail sind betroffen:

• 8.0.0 bis 8.0.1
• 7.6.0 bis 7.6.4
• 7.4.0 bis 7.4.6

FortiMail wird in der Regel als E-Mail-Sicherheitsgateway eingesetzt und filtert ein- und ausgehende E-Mails. Organisationen, die die Verwaltungs- oder Web-Oberflächen von FortiMail im Internet oder in nicht vertrauenswürdigen Netzwerken erreichbar machen, sollten dies als vorrangig behandeln.

Was jetzt zu tun ist

1. Stellen Sie fest, ob Sie eine betroffene FortiMail-Version einsetzen.
2. Behandeln Sie die Schwachstelle als unbehoben: Im CVE-Eintrag ist mit Stand 12. November 2026 keine korrigierte Version aufgeführt, und es wurde kein Workaround veröffentlicht.
3. Schränken Sie den Netzzugriff auf die Verwaltungs- und Web-Oberflächen von FortiMail ein. Ist keine Erreichbarkeit aus dem Internet erforderlich, entfernen Sie die Schnittstellen aus dem öffentlichen Zugriff oder verlagern Sie sie hinter ein VPN oder einen administrativen Jump-Host.
4. Erzwingen Sie für alle Konten, die FortiMail erreichen können, Multi-Faktor-Authentifizierung und Zugriff nach dem Prinzip der geringsten Berechtigungen.
5. Verfolgen Sie den Fortinet-Sicherheitshinweis zu CVE-2026-126263, um eine korrigierte Version und weitere Empfehlungen zu erhalten.

Wie man es erkennt

Der Hersteller hat zu diesem Problem keine Indikatoren veröffentlicht. Prüfen Sie zunächst, ob die Verwaltungs- oder Web-Oberfläche von FortiMail aus dem Internet oder anderen nicht vertrauenswürdigen Netzen erreichbar ist; der CVSS-Vektor beschreibt einen netzwerkbasierten Angriffsweg. Untersuchen Sie die Zugriffsprotokolle auf unerwartete Verbindungen zu FortiMail von Quellen, für die es keinen geschäftlichen Anlass gibt, auf das System zuzugreifen.

Über den Patch hinaus

Ein E-Mail-Sicherheitsgateway mit einer kritischen, unbehobenen SQL-Injection-Schwachstelle ist in erster Linie ein Problem der Angriffsfläche und erst danach eine Aufgabe zum Einspielen von Sicherheitsupdates. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, zu erfassen, wo FortiMail und vergleichbare Appliances erreichbar sind, und zu priorisieren, was jetzt eingeschränkt werden sollte. Mit Implementierungsleistungen unterstützen wir Sie bei Penetrationstests und einer Härtungsprüfung auf Injection- und Authentifizierungsschwachstellen.