CISA fügt CVE-2026-104286 zu KEV hinzu; verwundbar und ausgenutzt FortiMail erfordert Patch

Die US-Agentur für Infrastruktur und Cybersicherheit. USA (CISA) hat in ihrem Katalog bekannter und ausgebeuteter Schwachstellen (KEV) einen Zero-Day-Versagen in Fortinet FortiMail enthalten, der bereits in realen Umgebungen genutzt wird. Der Ausfall, aufgezeichnet als CVE-2026-104286 (CVSS 9.8), erlaubt einem unauthenticated Angreifer, beliebige Dateien im zugrunde liegenden System durch manipulierte HTTP / HTTPS-Anfragen zu schreiben. CISA hat den Eintrag nach Erhalt von Berichten über die aktive Ausbeutung hinzugefügt, so dass die offizielle Empfehlung ist, Patches oder Minderungen mit der höchsten Priorität anzuwenden.

In technischer Hinsicht beschreibt Fortinet die Schwachstelle als Kombination vonPfad-Traversal(eine Einschränkung der Route auf ein eingeschränktes Verzeichnis) und ein NULL Neutralisationsausfall. In der Praxis bedeutet dies, dass ein speziell konstruierter Eingang aus dem beabsichtigten Verzeichnisbaum entfernt und mit einem Nullzeichen gekürzt oder manipuliert werden kann, um den Server in beliebigen Dateien zu schreiben. Diese Fernschreibkapazität reicht oft aus, um persistente Komponenten - zum Beispiel geteilte oder binäre Bibliotheken - zu installieren, die dann die Codeausführung mit betroffenen Dienstberechtigungen ermöglichen. Diese technische Erklärung fällt mit den in gemeldeten Vorkommnissen identifizierten Artefakten zusammen: Bibliotheken, Binäre hinzugefügt und Änderungen wurden in kritischen dynamischen Lastdateien wie / Daten / etc / ld.so.preload beobachtet, ein klassischer Vektor, um eine persistente Ausführung zu erreichen.

Fakten bestätigt: CISA umfasste den CVE-2026-104286 in seinem KEV-Katalog und berichtete aktive Ausbeutung; Fortinet veröffentlichte eine Mitteilung, die die Ursache als Traversal + NULL-Zeichen identifiziert; Verwundbarkeit beeinflusst mehrere Zweige von FortiMail (detailed by Fortinet) und das Unternehmen hat temporäre Empfehlungen für bestimmte Starts veröffentlicht. Fortinet lieferte auch Verpflichtungsindikatoren (IOCs) mit beobachteten Kampagnen: zwei IP-Adressen (79.141.169 [.] 187 und 45.129.0 [.] 192) und eine Liste von geänderten oder hinzugefügten Dateien, einschließlich / Daten / lib / liblog.so, / Daten / bin / webconsole, / Daten / bin / Mailservice, / Daten / etc / ld.so.preload und / bin / smit.

Aktuelle Schätzungen und Informationen: die Beziehung zwischen Datei-Schreibkapazität und Code-Ausführung wird nicht durch Fortinet textuell spezifiziert, aber die beobachteten Dateien und Modifikationen (insbesondere ld.so.preload und binär hinzugefügt) sind mit Versuchen, Persistenz und Fernbedienung zu erhalten. Es gibt keine öffentliche Bestätigung, soweit die offiziellen Quellen zulassen, deren Akteure hinter den Betrieben oder dem quantifizierten Gesamtumfang der verübten Systeme stehen; dies ist nach wie vor Informationsaustausch und hängt von den Berichten der Eigentümer der betroffenen Ausrüstung ab.

Die Liste der von Fortinet bereitgestellten betroffenen Versionen weist darauf hin, dass FortiMail 8.0.0-8.0.1, 7.6.0-7.6.6, 7.4.0-7.4.8 und Zweig 7.2.0-7.2.9 gefährdet sind (für letztere ist die Empfehlung, auf Zweig 7.4 oder höher zu migrieren). Fortinet gibt Patch-Versionen bekannt, die das Problem korrigieren (z.B. 8.0.2, 7.6.7, 7.4.9 oder Migration auf 7.4 bei 7.2.x) und schlägt eine vorübergehende Minderung für Einrichtungen vor, die nicht sofort aktualisiert werden können, einschließlich des Abbaus der IBE-Funktionalität und der Einschränkung des Internet-Management-Zugangs.

Für Sicherheitsorganisationen und Administratoren hat dies direkte Auswirkungen: FortiMail ist ein Mail-Gateway, das eingehende und ausgehende Nachrichten verarbeitet; ein kompromittiertes Gerät kann eine Mail-Abhörung, Daten-Exfiltration, Back-Tür-Einstellung oder Schwenken in das interne Netzwerk ermöglichen. Darüber hinaus haben Sicherheits- und Mail-Anwendungen oft nützliche Privilegien in der Infrastruktur, so dass ihre Handhabung können spätere Angriffe wie Ransomware-Bereitstellung oder interne Spionage erleichtern.

Spezifische Maßnahmen, die von jeder Organisation mit FortiMail getroffen werden derzeit: Zuerst bestätigen Sie, ob Ihr Gerät (s) eine verletzliche Version führt und planen Sie ein dringendes Update auf die von Fortinet angegebene korrigierte Version. Wenn Sie nicht sofort parken können, wenden Sie sich an Fortinet's offizielle Minderung: deaktivieren Sie die IBE-Funktion und blockieren oder begrenzen den Zugriff auf die Management-Schnittstelle aus dem Internet, so dass es nur von Trust-Management-Netzwerken. Befolgen Sie die genauen Anweisungen des Herstellers, um diese Minderung auszuführen (nicht improvisieren Befehle, ohne offizielle Dokumentation zu überprüfen).

Zweitens, suchen Sie nach veröffentlichten IOCs: vergleichen Sie die von Fortinet auf FortiMail-Geräten identifizierten Dateien, um Additionen oder Modifikationen zu erkennen (z.B. / Daten / etc / ld.so.preload, / Daten / liblog.so, / Daten / bin / webconsole, / Daten / bin / mailservice und / bin / smit) und überprüfen Netzwerkverbindungen zu den angegebenen IPs. Wenn irgendwelche der Artefakte auf einem Team erscheinen, isolieren Sie es sofort aus dem Netzwerk und gehen mit einer forensischen Analyse. Überprüfen Sie auf Unix-ähnlichen Servern das Vorhandensein von ld.so.preload und dessen Inhalt sowie kritische binäre Hashes und Timstamps ist eine hochwertig-detektionswirkung.

Drittens: Blockieren auf Firewall-Ebene die bekannten PIs, die mit der Kampagne verbunden sind (79.141.169.187 und 45.129.0.192), Regeln für den Zugriff auf die Management-Konsole anwenden, um nur interne Netzwerke zu ermöglichen und die Registrierung und Speicherung von Zugangs- und Konfigurationsprotokollen zu konsolidieren, um die Forschung zu erleichtern. Aktualisieren Sie Signaturen und Regeln in IDS / IPS und EDR-Tools mit verfügbaren Informationen und teilen Sie Ergebnisse mit Ihrem Notfall-Reaktionsteam.

Viertens, schützen Sie die Anmeldeinformationen und Schlüssel: Wenn es einen Verdacht auf Engagement, runde administrative Passwörter, ändern Sie Zertifikate und Schlüssel, die beeinträchtigt wurden und überprüfen Service-Konten, die mit FortiMail interagieren. Wiederherstellen von verifiziertem Backup, wenn die Integrität des Geräts in Zweifel ist und dokumentieren Sie den gesamten Audit-Prozess und mögliche regulatorische Benachrichtigung.

Schließlich, wenn es zur US-Bundesregierung gehört. Die USA oder verwalten kritische Infrastruktur, beobachten die CISA-Frist: Bundesagenturen müssen vor dem 4. Oktober 2026 einen Zeitplan abstellen, der auf die Dringlichkeit der Bedrohung hindeutet. Weitere Informationen und formale Warnung finden Sie im CISA-Katalog: https: / / www.cisa.gov / Wissens-exploited-vulnerabilities-catalog und das technische Detail der CVE an der NVD-Basis: https: / / nvd.nist.gov / vuln / detail / CVE-2026-104286. Die Fortinet-Publikationen im Zusammenhang mit PSIRT sollten auch überprüft werden, um die offiziellen Schritte durchzuführen: https: / / www.fortiguardia / psirt.

Es ist wichtig, diesen Vorfall in einem breiteren Trend zu rahmen: In den letzten Wochen sind mehrere Fehler in Netzwerk- und Sicherheitsgeräten (einschließlich in Check Point, Arista VeloCloud, F5 BIG-IP, Cisco Catalyst SD-WAN und Citrix NetScaler) aufgetreten, die auch in der Praxis genutzt wurden. Dies deutet darauf hin, dass Angreifer Kampagnen intensivieren, die auf Infrastrukturanwendungen abzielen, die oft weniger operative Aufmerksamkeit erhalten als Server und Endpunkte, deren Engagement jedoch hohe Auswirkungen auf die globale Netzwerksicherheit hat.

Kurz gesagt, behandeln Sie diese CVE als erste Linie Priorität. Bestätigen Sie die Versionen, wenden Sie sich unverzüglich an offizielle Patches oder Minderungen, überprüfen Sie die Verpflichtungsindikatoren in Ihren FortiMail- und verwandten Netzwerksegmenten und koordinieren Sie die Reaktion und die Forschung, wenn Sie Anzeichen von Intrusion erkennen. Das Fenster, um einen dauerhaften Zugang und eine groß angelegte Ausbeutung zu vermeiden, schließt sich schnell an; konkrete und überprüfbare Maßnahmen reduzieren nun das Risiko eines späteren Schadens deutlich.