Noch bevor Fortinet überhaupt einen fertigen Patch für alle Versionslinien bereitstellen konnte, griffen Hacker bereits zu: Eine frisch entdeckte Lücke im E-Mail-Sicherheits-Gateway FortiMail wird schon aktiv ausgenutzt. Fortinet bestätigte den Angriff am 1. Oktober 2026 in seinem eigenen Security-Bulletin FG-IR-26-175 — und die US-Cybersicherheitsbehörde CISA reagierte am selben Tag.
WAS GENAU KAPUTT IST
Die Lücke trägt die Kennung CVE-2026-104286 und erreicht mit CVSS 9,8 fast die Höchstnote. Technisch steckt dahinter eine Kombination aus zwei Fehlern: eine klassische Pfad-Traversal-Schwachstelle und eine fehlerhafte Behandlung von Null-Byte-Zeichen in übergebenen Dateipfaden. Verschickt ein Angreifer eine präparierte HTTP- oder HTTPS-Anfrage an die FortiMail-Oberfläche, kann er damit beliebige Dateien auf dem zugrunde liegenden System ablegen — komplett ohne Benutzerkonto oder Passwort.
Mit geschriebenen Dateien allein ist es dabei nicht getan: Darüber lassen sich Systemdateien überschreiben, Hintertüren einschleusen und am Ende Code auf dem Gerät ausführen — bis hin zur kompletten Übernahme der Appliance.
GEFAHR! Fortinet hat bereits echte Spuren der Angreifer
Besonders brisant: Fortinet veröffentlichte direkt mit dem Advisory eine Liste konkreter Angriffsspuren. Auf kompromittierten Geräten fanden die Sicherheitsforscher unter anderem eine manipulierte Datei /bin/smit, eine neu hinzugefügte /data/lib/liblog.so sowie veränderte Dateien wie /data/bin/webconsole, /data/bin/mailservice, /data/etc/httpd.conf, /data/etc/ld.so.preload und ein verdächtiges Archiv /data/migadmin.tar.gz. Als Herkunft der bisher beobachteten Angriffe nennt Fortinet unter anderem die IP-Adressen 79.141.169.187 und 45.129.0.192. Gemeldet wurde die Lücke von Gwendal Guégniaud aus dem eigenen Fortinet-Sicherheitsteam.
Die US-Behörde CISA nahm CVE-2026-104286 noch am selben Tag in ihren Katalog bekannter ausgenutzter Schwachstellen auf. Für US-Bundesbehörden gilt eine knappe Frist: Bis Sonntag, den 4. Oktober, müssen betroffene Systeme abgesichert sein.
WER WIRKLICH BETROFFEN IST
Betroffen sind die Versionslinien FortiMail 8.0.0 bis 8.0.1, 7.6.0 bis 7.6.6, 7.4.0 bis 7.4.8 und 7.2.0 bis 7.2.9. FortiMail dient als E-Mail-Sicherheits-Gateway, das Spam, Phishing und Malware vor dem eigentlichen Mailserver abfängt — ein Gerät, das bei vielen Firmen und Hosting-Anbietern direkt am Netzrand steht und entsprechend oft aus dem Internet erreichbar ist.
SO RETTEST DU DEIN SETUP — in 10 MINUTEN
- Version prüfen: Läuft bei dir eine der betroffenen Linien 7.2, 7.4, 7.6 oder 8.0?
- Patchen: Fortinet hat die Fixe in den Versionen 7.4.9, 7.6.7 und 8.0.2 angekündigt — sobald verfügbar, sofort einspielen.
- Sofort-Maßnahme ohne Patch: Die Management-Oberfläche aus dem offenen Internet nehmen und den Zugriff auf vertrauenswürdige IP-Bereiche beschränken. Wo möglich, Identity-Based-Encryption-Support (IBE) deaktivieren.
- Nachsehen: Die oben genannten Dateien und IP-Adressen gegen die eigenen Logs und das Dateisystem prüfen — ein Treffer bedeutet akuten Handlungsbedarf.
FAZIT: Patch kommt NACH dem Angriff
Dieser Fall zeigt ein Muster, das Sicherheitsforscher in den letzten Jahren immer wieder bei Fortinet-Produkten beobachtet haben: Die Lücke wird erst öffentlich, nachdem sie bereits ausgenutzt wurde. Wer eine FortiMail-Appliance betreibt, sollte deshalb nicht auf den fertigen Patch warten, sondern die Management-Oberfläche schon jetzt vom offenen Internet abschotten — unabhängig davon, ob ein Fix schon bereitsteht.