Fortinet-Patchday: Kritische FortiMail-Lücken ohne Anmeldung, auch FortiOS betroffen

Fortinet hat am 10. November 2026 seine monatlichen Sicherheitshinweise veröffentlicht, diesmal in ungewöhnlichem Umfang. SecurityWeek zählt 89 Advisories zu fast 100 Lücken, etwa 17 davon kritisch. Am schwersten trifft es FortiMail: Mehrere Lücken lassen sich laut Fortinet ohne Anmeldung ausnutzen, zwei davon mit CVSS 9.8. Dazu kommen kritische Fehler in FortiOS, FortiManager und FortiAuthenticator.

Die korrigierten Versionen stehen laut Fortinet-Blog schon seit dem 21. Oktober (FortiMail, FortiAuthenticator) beziehungsweise 22. Oktober (FortiOS, FortiManager, FortiAnalyzer) bereit, jetzt hat Fortinet die Hinweise dazu veröffentlicht. Wer FortiMail selbst betreibt, sollte spätestens jetzt aktualisieren. Kunden von FortiMail Cloud müssen nichts tun, Fortinet hat die Cloud am 5. Oktober 2026 aktualisiert. Eine Ausnutzung ist laut Fortinet bei keiner der hier genannten Lücken bekannt.

Was ist passiert?

Laut Fortinet-Blog enthalten die Hinweise Funde aus KI-gestützten Sicherheitstests. Alle in diesem Beitrag genannten Lücken hat laut den Hinweisen das eigene Product-Security-Team gefunden, bei acht von neun mit Hilfe des KI-Modells Claude Mythos.

Die kritischsten FortiMail-Hinweise im Überblick:

• FG-IR-26-199 (CVE-2026-126147, CVSS 9.8): Path Traversal in der API, über die ein nicht angemeldeter Angreifer Code oder Befehle ausführen kann.
• FG-IR-26-200 (CVE-2026-126148, CVSS 9.8): Command Injection über präparierte HA-Join-Pakete, ebenfalls ohne Anmeldung. Betroffen sind nur 7.6 und 8.0.
• FG-IR-26-216 (CVE-2026-126164, CVSS 9.4): SQL-Injection ohne Anmeldung.
• FG-IR-26-207 und FG-IR-26-208 (CVSS jeweils 9.1): Angreifer können laut Beschreibung ohne Anmeldung eine IBE-Webmail-Sitzung beliebiger Empfänger übernehmen beziehungsweise deren IBE-Konto kapern.

In FortiOS behebt Fortinet unter anderem FG-IR-26-267 (CVE-2026-126253, CVSS 9.3), über die ein nicht angemeldeter Angreifer im OSPF-Dienst Routing-Informationen (LSA) verbreiten kann, und FG-IR-26-269 (CVE-2026-126255, CVSS 7.4), eine Authentifizierungsumgehung im SSH-Dienst. Diese betrifft laut Fortinet nur Geräte, auf denen „GPC OS Login“ aktiviert ist. FortiManager erhält mit FG-IR-26-275 (CVE-2026-126261, CVSS 9.0) einen Fix für eine Lücke im FGFM-Protokoll, über die ein nicht angemeldeter Angreifer mit Zugriff auf den FGFM-Port Code ausführen kann. FortiAuthenticator schließt unter anderem ein hart kodiertes Passwort (FG-IR-26-271, CVSS 9.0).

Wer ist betroffen?

• FortiMail 8.0.0 bis 8.0.1 (Fix 8.0.2), 7.6.0 bis 7.6.6 (Fix 7.6.7), 7.4.0 bis 7.4.8 (Fix 7.4.9). Für 7.2 gibt es keinen Fix, Fortinet rät zur Migration auf eine korrigierte Reihe.
• FortiOS 8.0.0 bis 8.0.1 (Fix 8.0.2), 7.6.0 bis 7.6.7 (Fix 7.6.8), 7.4.0 bis 7.4.12 (Fix 7.4.13), 7.2.0 bis 7.2.13 (Fix 7.2.14).
• FortiManager und FortiAnalyzer: Für alle Fixes dieser Runde nennt der Fortinet-Blog 8.0.2, 7.6.8, 7.4.12 und 7.2.13. Die FGFM-Lücke FG-IR-26-275 allein ist schon ab 8.0.1, 7.6.8, 7.4.6 und 7.2.9 behoben. Für die Reihe 7.2 führt der Hinweis FG-IR-26-244 allerdings keinen Fix, sondern den Wechsel auf eine korrigierte Reihe.
• FortiAuthenticator 8.0.0 bis 8.0.3 (Fix 8.0.4) und 6.6.0 bis 6.6.10 (Fix 6.6.11).

FortiMail Cloud hat Fortinet bereits aktualisiert. Bei FortiSASE sind die genannten FortiOS-Fehler mit 26.3.2 behoben, für ältere Zweige von 25.1 bis 26.2 nennt Fortinet den Wechsel auf eine korrigierte Version.

Wie kritisch ist das?

Für FortiMail ist die Lage ernst: Ein Mail-Gateway ist in aller Regel aus dem Internet erreichbar, und mehrere Lücken setzen keine Anmeldung voraus. Fortinet führt in den Hinweisen zu FG-IR-26-216 und FG-IR-26-207 als Auswirkung allerdings nur „Denial of service“, obwohl die Beschreibungen weiter gehen. Eine Ausnutzung meldet Fortinet bisher nicht. Mit Details zu den Fehlern, die laut Fortinet später folgen, steigt das Risiko.

Was sollten Admins jetzt tun?

• Inventar: Versionen aller FortiMail-, FortiGate-, FortiManager-, FortiAnalyzer- und FortiAuthenticator-Geräte erfassen und mit den Listen oben abgleichen.
• FortiMail zuerst aktualisieren, Systeme auf 7.2 auf eine unterstützte Reihe heben.
• Bei FortiOS die Upgrade-Pfade von Fortinet einhalten, prüfen, ob OSPF auf externen Schnittstellen aktiv ist und ob GPC OS Login genutzt wird.
• FortiManager: Den FGFM-Port nur für verwaltete Geräte erreichbar machen und das Update einspielen.
• Konfigurationen vor dem Update sichern, danach Logs auf ungewöhnliche API-Aufrufe und neue Admin-Konten prüfen.

Einordnung für Unternehmen

Die große Zahl an Hinweisen ist laut SecurityWeek auch eine Folge KI-gestützter Codeprüfung. Für kleine IT-Teams heißt das: Die Patchlast steigt, Prioritäten werden wichtiger. Fortinet selbst rät, die Updates als vorrangige Änderung zu behandeln und nicht als Routinewartung. Eigene Einschätzung: Vom Internet aus erreichbare Systeme ohne nötige Anmeldung, hier vor allem FortiMail, gehören an den Anfang der Liste. Danach folgt FortiManager, dessen FGFM-Lücke ebenfalls keine Anmeldung braucht. Wer den FGFM-Port nur für verwaltete Geräte öffnet, senkt das Risiko bis zum Update.

Passende Anleitungen auf S-EDV

• Zero-Trust-Netzwerksegmentierung im KMU: VLANs, Firewall-Regeln und Mikrosegmentierung mit OPNsense und UniFi
• FortiMail: Zero-Day CVE-2026-104286 aktiv ausgenutzt
• Fortinet FortiOS: SSL-VPN Patch-Bypass aktiv ausgenutzt

Quellen

• Fortinet PSIRT: FG-IR-26-199 (FortiMail)
• Fortinet PSIRT: FG-IR-26-200 (FortiMail)
• Fortinet PSIRT: FG-IR-26-267 (FortiOS)
• Fortinet PSIRT: FG-IR-26-275 (FortiManager)
• Fortinet: Blog zu den Sicherheitsupdates
• SecurityWeek: Fortinet schließt fast 100 Lücken