FortiMail'de kimlik doğrulamasız kod çalıştırma ve IBE hesap ele geçirme, FortiAuthenticator'da hard-coded parola: Fortinet'in Kasım bülteninde gözden kaçan 8 kritik açık
Fortinet'in 10 Kasım PSIRT paketinde FortiMail için altı, FortiAuthenticator için iki kritik açık var. İkisi FortiMail'de kimlik doğrulamasız kod çalıştırmaya (CVSS 9.8), dördü şifreli posta (IBE) hesaplarının ele geçirilmesine izin veriyor. İstismar bildirilmedi.
CVE-2026-126147, CVE-2026-126148, CVE-2026-126150
Fortinet'in 10 Kasım'da yayımladığı 46 bildirimlik PSIRT paketini FortiOS ve FortiManager odağıyla işlemiştik. Aynı paketin içinde e-posta güvenliği ürünü FortiMail için altı, kimlik doğrulama sunucusu FortiAuthenticator için iki kritik açık daha var. Kayıtlar 12 Kasım'da NVD ve GitHub Advisory Database'e düştü.
En ağırları FortiMail'de: CVE-2026-126147 (path traversal) ve CVE-2026-126148 (HA join-request paketlerinde OS command injection), kimlik doğrulama olmadan kod ya da komut çalıştırmaya izin veriyor; ikisi de CVSS 9.8. Dört açık (CVE-2026-126150, -126155, -126156, -126157, CVSS 9.1) şifreli posta özelliği IBE'nin (Identity Based Encryption) webmail tarafında başka kullanıcıların hesabına girmeye, şifreli postalarını okuyup göndermeye yol açıyor. FortiAuthenticator'da CVE-2026-126251 authentication bypass, CVE-2026-126257 ise hard-coded password kaynaklı. Fortinet bildirimlerinde istismar beyanı yok; KEV'de de değiller.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| FortiMail 8.0 | 8.0.0 – 8.0.1 | 8.0.2 |
| FortiMail 7.6 | 7.6.0 – 7.6.6 | 7.6.7 |
| FortiMail 7.4 | 7.4.0 – 7.4.8 (CVE-2026-126148 7.4'ü etkilemiyor) | 7.4.9 |
| FortiMail 7.2 | Tüm sürümler | Bildirimlerde 7.2 için düzeltilmiş sürüm verilmiyor; IBE parola sıfırlama açığı (CVE-2026-126150) için "yakında çıkacak 7.2.10" |
| FortiAuthenticator 8.0 | 8.0.0 – 8.0.3 | 8.0.4 |
| FortiAuthenticator 6.6 | 6.6.0 – 6.6.10 | 6.6.11 |
Açık bazında ayrıntı ve diğer hatlar için FortiGuard PSIRT listesindeki ilgili FG-IR bildirimine bakın.
Beni etkiliyor mu?
- FortiMail ve FortiAuthenticator sürümünü CLI'dan okuyun (salt okunur):
get system status- FortiMail'de IBE kullanıp kullanmadığınızı arayüzden kontrol edin: Encryption › IBE Encryption. IBE açıksa ve webmail arayüzü internete açıksa dört hesap ele geçirme açığı doğrudan sizi ilgilendirir.
- HA kullanıyorsanız (System › High Availability) CVE-2026-126148 için HA arayüzlerinin hangi ağa açık olduğunu not edin.
- Yönetim ve webmail arayüzlerinin internetten erişilebilir olup olmadığını dış tarama kaydınızdan doğrulayın.
Ne yapılmalı?
- FortiMail'i 8.0.2, 7.6.7 ya da 7.4.9'a; FortiAuthenticator'ı 8.0.4 ya da 6.6.11'e yükseltin. 7.2 hattındaki FortiMail cihazlarını desteklenen bir hatta taşımayı planlayın.
- Yükseltme hemen mümkün değilse, yönetim arayüzünü yalnızca yönetim ağından erişilebilir yapın, HA trafiğini ayrı ve izole bir segmentte tutun, IBE webmail erişimini mümkün olduğunca daraltın.
- IBE kullanıcı hesaplarında beklenmedik parola sıfırlama ve oturum açma kayıtlarını, FortiAuthenticator'da olağan dışı yönetici girişlerini log'lardan izleyin.
- FortiMail ve FortiAuthenticator kimlik ve e-posta akışının merkezinde durduğu için yükseltmeyi change management sürecinde bakım penceresine alın; HA çiftlerinde sırayla ilerleyin.
Kaynaklar
- FortiGuard PSIRT — FG-IR-26-199 FortiMail path traversal
- FortiGuard PSIRT — FG-IR-26-200 FortiMail HA join-request OS command injection
- FortiGuard PSIRT — FG-IR-26-202 FortiMail IBE parola sıfırlama
- FortiGuard PSIRT — FG-IR-26-265 FortiAuthenticator incorrect authorization
- FortiGuard PSIRT — FG-IR-26-271 FortiAuthenticator hard-coded password
- GitHub Advisory Database — CVE-2026-126147
