FortiMail SQL-injekciós hibája hitelesítés nélküli támadóknak kódvégrehajtást tehet lehetővé (CVE-2026-126164)

Mi történt

A Fortinet FG-IR-26-216 jelű biztonsági közleménye SQL-injekciós sérülékenységet ismertet a FortiMailben. Az SQL-injekciós hibánál egy speciálisan kialakított kérés hatására az alkalmazás a bemenet egyes részeit adatként való kezelés helyett SQL-parancsként értelmezheti. A hiba hitelesítés nélkül, a hálózaton keresztül érhető el, és semmilyen felhasználói beavatkozást nem igényel. Az a támadó, aki eléri a sérülékeny FortiMail-felületet, speciálisan kialakított kéréseket küldhet, amelyek jogosulatlan kód vagy parancsok végrehajtását tehetik lehetővé.

A CVSS 3.1 vektor 9,4-es kritikus pontszámot ad; a bizalmasságra és a sértetlenségre gyakorolt hatás magas, a rendelkezésre állásra gyakorolt hatás korlátozott. A Fortinet nem közölte, hogy a sérülékenységet aktívan kihasználják, és az nem szerepel a CISA KEV listáján. A CVE-rekord 2026. november 11-én jelent meg.

Kit érint

A Fortinet az alábbi FortiMail-kiadásokat sorolja fel érintettként:

• 8.0.0–8.0.1
• 7.6.0–7.6.6
• 7.4.0–7.4.8
• 7.2.0–7.2.9

A FortiMail egy e-mail biztonsági átjáró, amelyet jellemzően olyan ponton helyeznek üzembe, ahol a bejövő és a kimenő leveleket szűrik. Az ezen verziók valamelyikét futtató szervezeteknek a nem megbízható hálózatok felől való elérhetőséget kell azonnali kockázatként kezelniük.

Mit kell most tenni

1. Azonnal korlátozza az elérhetőséget. A hiba hitelesítő adatok és felhasználói beavatkozás nélkül érhető el a hálózaton keresztül, ezért ellenőrizze, hogy a FortiMail felügyeleti és levelezési felületei nem érhetők el nem megbízható hálózatokból. A hozzáférést megbízható hosztokra vagy VPN-re korlátozza.
2. Kövesse figyelemmel a Fortinet FG-IR-26-216 jelű biztonsági közleményét. A Fortinet egyelőre nem tett közzé javított verziót vagy kerülő megoldást.
3. Ha a FortiMail az internet felől elérhető, alkalmazzon kompenzáló hálózati kontrollokat, például forráscím-alapú korlátozásokat és a hozzáférések naplózását, és vizsgálja meg, hogy az átjárónak valóban fogadnia kell-e kapcsolatokat a nyílt internetről.
4. A fenti érintett verziótartományokat tekintse a hatókörnek; a Fortinet más kiadásokat nem jelölt meg sérülékenyként.

Hogyan észlelhető

A Fortinet ehhez a sérülékenységhez nem tett közzé kompromittálódásra utaló jeleket. Kezdje az elérhetőséggel: ellenőrizze, hogy bármelyik FortiMail felügyeleti vagy levélfeldolgozási felület elérhető-e az internetről. Mivel a sérülékenység hitelesítés nélkül, a hálózaton keresztül érhető el, ez az elérhetőség az a feltétel, amelyre a támadónak szüksége lenne.

A javításon túl

Mivel a hiba hitelesítő adatok nélkül, a hálózaton keresztül érhető el, az első kérdés az, hogy a FortiMail egyáltalán elérhető-e kívülről. A Virtuális CISO szolgáltatás (vCISO) feltérképezheti ezt a kitettséget, és rangsorolhatja a behatárolási feladatokat, a bevezetési és felmérési szolgáltatások pedig SQL-injekciós és tágabb, a biztonsági megerősítés terén mutatkozó hiányosságokra tesztelhetnek. Amíg a Fortinet nem teszi közzé a javított verziókat, a gyakorlati feladat az elérhetőség csökkentése és annak ellenőrzése, hogy az átjáró hogyan van elhelyezve a hálózatban.