Am 1. Oktober 2026 veröffentlichte Fortinet eine Sicherheitsmeldung zu einer Lücke in FortiMail, dem E-Mail-Sicherheitsgateway, das viele Unternehmen vor ihre Postfächer schalten, um ein- und ausgehende E-Mails zu prüfen. Die Lücke, CVE-2026-104286, wird mit 9.8 von 10 bewertet, kann von einem Angreifer ohne Konto und ohne Passwort ausgenutzt werden, und laut Fortinet wird sie bereits aktiv ausgenutzt. Am selben Tag gab die Nationale Cybersicherheitsbehörde Saudi-Arabiens (NCA) die Warnung 2026-7895 mit dem Schweregrad Kritisch heraus, und die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) nahm sie in ihren Katalog bekannter ausgenutzter Schwachstellen auf.

Warum diese Lücke die Geschäftsführung vor der IT angeht

Letzte Woche schrieben wir über eine ausgenutzte Lücke in Ciscos Manager für Filialnetzwerke und die Frage, wer die verwalteten Systeme in Ihrem Unternehmen patcht. Diese hier unterscheidet sich in einem Punkt, der die Geschäftsführung vor der IT angeht: Unter den von Fortinet veröffentlichten Kompromittierungsindikatoren ist eine Logzeile, die zeigt, dass der Angreifer ein Mail-Archivkonto angelegt hat, dessen Ziel ein externer Server ist. Das Risiko endet hier nicht am Gerät. Es reicht bis in die E-Mails des Unternehmens selbst.

Was Fortinet veröffentlicht hat

  • Produkt: FortiMail, das E-Mail-Sicherheitsgateway von Fortinet.
  • Die Lücke: eine Path-Traversal-Schwachstelle in Kombination mit fehlerhafter Behandlung von NULL-Bytes in Anfragen, durch die eine präparierte HTTP- oder HTTPS-Anfrage Dateien in das System des Geräts selbst schreiben kann. Fortinet stuft die Auswirkung als Ausführung von nicht autorisiertem Code oder Befehlen ein.
  • Voraussetzung: keine. Ein nicht authentifizierter Angreifer aus der Ferne, mit einem CVSS-Wert von 9.8 von 10.
  • Status: laut Fortinet aktiv ausgenutzt und intern vom eigenen Sicherheitsteam entdeckt.
  • Der Fix: Als die Meldung erschien, gab es noch keine Updates, und SecurityWeek berichtete am 2. Oktober, dass Fixes in kommenden Versionen ohne genanntes Veröffentlichungsdatum folgen würden. Die Versionshinweise von Fortinet datieren Version 7.6.7 dann auf den 2. Oktober und die Versionen 7.4.9 und 8.0.2 auf den 3. Oktober, und am 5. Oktober aktualisierte Fortinet den Lösungsabschnitt der Meldung. Die korrigierten Versionen stehen in der Tabelle unten.
  • Lokale Warnung: Warnung 2026-7895 der Nationalen Cybersicherheitsbehörde vom 1. Oktober 2026, Schweregrad Kritisch, mit der Empfehlung, betroffene Produkte zu aktualisieren.
  • Die US-Frist: CISA gab US-Bundesbehörden bis zum 4. Oktober Zeit, drei Tage, und unterwarf die Lücke ihren Anforderungen an eine forensische Triage. Es ist die achte Fortinet-Schwachstelle, die die Behörde seit Anfang 2026 in ihren Katalog aufgenommen hat.

Betroffene und korrigierte Versionen laut der Meldung:

Release-ZweigBetroffene VersionenFix
8.08.0.0 bis 8.0.18.0.2 oder neuer
7.67.6.0 bis 7.6.67.6.7 oder neuer
7.47.4.0 bis 7.4.87.4.9 oder neuer
7.27.2.0 bis 7.2.9Wechsel auf Zweig 7.4 oder neuer

Beachten Sie die letzte Zeile: Zweig 7.2 erhält keinen Fix innerhalb des Zweigs. Er braucht einen Wechsel auf einen anderen Zweig, was Planung erfordert, aber nicht warten kann.

Warum das E-Mail-Gateway so wichtig ist

Das E-Mail-Gateway sitzt zwischen dem Internet und den Postfächern Ihrer Mitarbeitenden, also läuft jede ein- und ausgehende Nachricht hindurch: Angebote, Lieferantenrechnungen, Verträge, Bankkorrespondenz und Anfragen zur Änderung von Bankdaten. Deshalb hat es weitreichende Befugnisse über die E-Mails. Es ist das System, das Nachrichten prüft, in Quarantäne stellt, verschlüsselt und archiviert.

Der Pfad, den die Lücke ausnutzt, gehört zur Funktion IBE, identitätsbasierte Verschlüsselung, mit der FortiMail verschlüsselte Nachrichten verschickt, die Empfänger über ein Webportal öffnen. In vielen Konfigurationen ist dieses Portal aus dem Internet erreichbar, damit es auch Empfänger außerhalb des Unternehmens nutzen können.

Die Spur, nach der Ihr Team suchen sollte: ein Archivkonto, das niemand angelegt hat

Zusammen mit der Meldung veröffentlichte Fortinet Kompromittierungsindikatoren. Dazu gehören zwei IP-Adressen, 79.141.169.187 und 45.129.0.192, und eine Zeile aus dem Systemereignisprotokoll, die zeigt, dass ein Archivkonto namens archive234 angelegt wurde, mit einem entfernten Server als Ziel: dieselbe Adresse, 79.141.169.187, in einem Verzeichnis namens /uploads. Dieselbe Zeile zeigt, dass die Änderung unter dem Benutzernamen admin über die Befehlszeile vorgenommen wurde.

Um zu verstehen, was diese Zeile bedeutet: Die Archivfunktion von FortiMail speichert archivierte Nachrichten in Archivkonten, und jedes Konto hat ein Ziel. Es kann lokal sein, auf der Festplatte des Geräts oder einem Netzwerkspeicher-Server, oder entfernt, auf einem Server, mit dem sich das Gerät über FTP oder SFTP verbindet. Welche Nachrichten archiviert werden, legen separate Archivrichtlinien fest. Ein Archivkonto, das auf den Server des Angreifers zeigt, wird also, sobald eine Archivrichtlinie damit verknüpft ist, zu einem Weg, Nachrichten aus dem Unternehmen hinaus zu kopieren. Die Meldung sagt nicht, ob in den festgestellten Fällen tatsächlich E-Mails kopiert wurden.

Was Sie von Ihrem IT-Team oder Dienstleister verlangen sollten:

  • Jedes Archivkonto und jede Archivrichtlinie auf dem Gerät prüfen und nach jedem entfernten Ziel fragen, das im Unternehmen niemand kennt.
  • Die Logs nach den beiden veröffentlichten Adressen durchsuchen sowie nach einem Konto namens archive234 oder einem neueren Archivkonto, dessen Ersteller unbekannt ist.
  • Die Administratorkonten auf dem Gerät prüfen und jede Konfigurationsänderung, die niemand erklären kann.
  • Vor dem Patchen eine Kopie der Logs und der Konfiguration sichern. Einstellungen überstehen ein Upgrade in der Regel, ein vorher angelegtes Konto bleibt also bestehen, bis jemand es löscht. Der Patch schließt die Tür. Er verrät Ihnen nicht, wer hindurchgekommen ist.

Wenn Sie heute Nacht nicht patchen können

Fortinet nennt einen Workaround mit drei Optionen:

  • Die IBE-Funktion in der Weboberfläche deaktivieren (Encryption, dann IBE, dann IBE Service ausschalten) oder über die Befehlszeile.
  • Oder den Internetzugriff auf die Webmail-Oberfläche von FortiMail sperren oder ihn auf ein vertrauenswürdiges privates Netzwerk beschränken.
  • Oder, falls eine Web Application Firewall vor dem Gerät steht, POST-Anfragen an /ibe blockieren, die ../ enthalten.

Das Deaktivieren von IBE stoppt den verschlüsselten Versand über diese Funktion, also vereinbaren Sie mit einer Abteilung, die darauf angewiesen ist, eine vorübergehende Alternative. Ein Workaround schränkt ein, wer die Lücke erreichen kann. Er ersetzt nicht das Upgrade und erspart nicht die Prüfung, was davor geschehen ist.

Der eigentliche Schaden trifft die Finanzabteilung Wochen später

Das Kopieren von E-Mails ist nicht das Ziel an sich. Wer Ihre Korrespondenz mit Lieferanten liest, erfährt, wer Rechnungen schickt, wann, in welchem Format und welche Bestellungen auf Zahlung warten. Genau das ist das Material, das Rechnungsumleitungsbetrug braucht: eine Nachricht, die scheinbar vom Lieferanten kommt, innerhalb einer echten Unterhaltung, mit der Bitte, die nächste Zahlung auf ein neues Bankkonto zu leisten.

Um diese Art von Betrug zu stoppen, braucht es keine Technik. Es braucht eine Regel, die Ihre Finanzabteilung ab heute befolgt:

  • Das Bankkonto eines Lieferanten wird nie allein aufgrund einer E-Mail geändert, so echt sie auch aussieht.
  • Telefonisch prüfen unter einer Nummer, die bereits in den Lieferantenstammdaten hinterlegt ist, nie unter einer Nummer aus der Nachricht selbst.
  • Eine Änderung der Bankdaten eines Lieferanten braucht die Freigabe einer zweiten Person, die nicht diejenige ist, die sie erfasst hat, und das System protokolliert, wer sie wann geändert hat.
  • Die erste Zahlung auf ein neues Bankkonto wird genauer geprüft als die übrigen.

Wie man den Ablauf für Bankdatenänderungen im System verankert, haben wir in unserem Artikel über geplante Zahlungsläufe an Lieferanten und den Kontoabgleich erklärt.

Wenn sich herausstellt, dass Nachrichten kopiert wurden

Findet Ihr Team ein unbekanntes Archivkonto oder Hinweise darauf, dass Nachrichten kopiert wurden, behandeln Sie das als Datenpanne, nicht als Konfigurationsfehler, denn E-Mails enthalten in der Regel personenbezogene Daten: Namen, Mobilnummern und Adressen von Kunden. Der Verfahrensleitfaden der Saudi-Arabischen Behörde für Daten und Künstliche Intelligenz (SDAIA) zu Verletzungen des Schutzes personenbezogener Daten verpflichtet den Verantwortlichen, die zuständige Behörde innerhalb von 72 Stunden zu benachrichtigen, nachdem er Kenntnis von einem Vorfall erlangt hat, der den Daten oder den betroffenen Personen schaden oder mit ihren Rechten oder Interessen kollidieren kann, und die betroffenen Personen ohne unangemessene Verzögerung zu benachrichtigen, wenn er ihren Daten schadet oder mit ihren Rechten oder Interessen kollidiert. Informieren Sie auch die Lieferanten und Kunden, deren Korrespondenz offengelegt wurde, denn sie könnten Betrugsnachrichten im Namen Ihres Unternehmens erhalten.

Die Sicht von Origami

Wir entwickeln Unternehmenssoftware. Wir verkaufen oder betreiben keine E-Mail-Appliances. Aber jedes System, das wir bauen, verschickt E-Mails: Rechnungen, Auftragsbestätigungen, Kontoauszüge. Aus unserer Sicht verdient die Möglichkeit, Firmen-E-Mails zu kopieren, dieselbe Aufmerksamkeit wie der Zugang zum Buchhaltungssystem, denn die Rechnung und die Anfrage zur Änderung der Bankdaten laufen beide per E-Mail, bevor sie das System erreichen.

Für saudische Unternehmer lesen wir diese Lücke auf zwei Arten. Erstens sind Sicherheitsgeräte selbst zu einem wiederkehrenden Ziel geworden, also braucht das Gerät, das Sie zum Schutz Ihrer E-Mails gekauft haben, jemanden, der seine Warnungen verfolgt und es wie jedes andere System aktualisiert. Zweitens ist die beste Antwort auf gestohlene Korrespondenz nicht nur technisch: Eine Regel zur telefonischen Prüfung in der Finanzabteilung vereitelt Betrug, der auf gestohlenen E-Mails beruht, selbst wenn der Einbruch nie entdeckt wird.

Das Wichtigste in Kürze

  • Wenn Ihr Unternehmen FortiMail nutzt, ermitteln Sie heute die Version und aktualisieren Sie auf 8.0.2, 7.6.7, 7.4.9 oder neuer, und wechseln Sie mit Zweig 7.2 auf 7.4 oder neuer.
  • Bis zum Upgrade: IBE deaktivieren oder den Internetzugriff auf die Webmail-Oberfläche sperren.
  • Archivkonten und -richtlinien prüfen, nach den beiden veröffentlichten Adressen suchen und vor dem Patchen die Logs sichern.
  • Sagen Sie es der Finanzabteilung heute: keine Änderung am Bankkonto eines Lieferanten ohne telefonische Prüfung unter einer bekannten Nummer und eine zweite freigebende Person.
  • Wenn kopierte Nachrichten personenbezogene Daten enthielten und die Panne den Betroffenen schaden oder mit ihren Rechten oder Interessen kollidieren kann, beträgt die Frist zur Meldung an die zuständige Behörde 72 Stunden ab Kenntnis des Vorfalls.

Quellen