FortiMail'de yedinci kritik açık: kimliksiz SQL injection (CVE-2026-126164) ve 14 yüksek bildirim daha
Fortinet'in 10 Kasım PSIRT paketinde FortiMail için daha önce yazmadığımız bir kritik açık var. CVE-2026-126164 (CVSS 9.4) kimlik doğrulama olmadan kod ya da komut çalıştırmaya izin veriyor. Aynı pakette FortiMail için dokuz, FortiAuthenticator için beş yüksek bildirim bulunuyor. İstismar bildirilmedi.
CVE-2026-126164, CVE-2026-126153, CVE-2026-126159
Fortinet'in 10 Kasım'da yayımladığı PSIRT paketinden FortiMail ve FortiAuthenticator için sekiz kritik açığı dün yazmıştık. Paketi bildirim bildirim yeniden taradığımızda o haberde yer almayan bir kritik açık daha çıktı: CVE-2026-126164 (FG-IR-26-216, CVSS 9.4). FortiMail'deki bu SQL injection açığı, kimliği doğrulanmamış bir saldırganın hazırlanmış isteklerle yetkisiz kod ya da komut çalıştırmasına izin verebiliyor.
Aynı gün FortiMail için dokuz, FortiAuthenticator için beş yüksek önem dereceli bildirim de yayımlandı. Üçü FortiMail'de kimlik doğrulama gerektirmiyor. On beş bildirimin hepsinde "Known Exploited" alanı "No"; açıklar CISA KEV kataloğunda değil. Hiçbiri için virtual patch yok. Fortinet, açıkların ürün güvenliği ekibi tarafından Claude Mythos modeli kullanılarak bulunduğunu belirtiyor.
Öne çıkan bildirimler
FortiMail, kimlik doğrulama gerektirmeyenler
- FG-IR-26-216 / CVE-2026-126164 (9.4, kritik): SQL injection; kod ya da komut çalıştırma.
- FG-IR-26-205 / CVE-2026-126153 (7.5): path traversal; yetkisiz komut çalıştırma.
- FG-IR-26-212 / CVE-2026-126160 (8.2) ve FG-IR-26-211 / CVE-2026-126159 (7.5): hazırlanmış bir karantina serbest bırakma isteğiyle herhangi bir posta kutusunun karantinadaki iletileri serbest bırakılabiliyor ya da silinebiliyor.
FortiMail, oturum gerektirenler
- FG-IR-26-196 / CVE-2026-126144 (8.8): webmail tarafında OS command injection. FortiRecorder ve FortiVoice da etkileniyor.
- FG-IR-26-204 / CVE-2026-126152 (8.1): webmail ve yönetim arayüzünde, başka tenant domain'lerindeki kullanıcıların takvim ve posta kutusu verisine erişim ya da silme.
- FG-IR-26-218 / CVE-2026-126166 – 126169 (7.6): domain admin yetkisiyle root olarak kod çalıştırma ve dosya okuma/yazma.
- FG-IR-26-197, -198 ve -210 (7.2): yönetici yetkisi gerektiren OS command injection açıkları.
FortiAuthenticator
- FG-IR-26-256 / CVE-2026-126241 (8.8) ve FG-IR-26-266 / CVE-2026-126252 (8.3): oturum açmış saldırgan için SQL injection.
- FG-IR-26-255 / CVE-2026-126240 (8.2): LDAP injection ile authentication bypass. Fortinet'e göre istismar için ele geçirilmiş bir upstream IdP ya da kullanıcının NameID değerini belirleyebildiği bir IdP yapılandırması gerekiyor.
- FG-IR-26-258 / CVE-2026-126244 (7.5): kimlik doğrulama gerektirmeyen kaynak tüketimi, DoS.
- FG-IR-26-263 / CVE-2026-126249 (7.2): yetki yükseltme.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| FortiMail 8.0 | 8.0.0 – 8.0.1 | 8.0.2 (CVE-2026-126166 – 126169 için 8.0.0 – 8.0.2 etkileniyor; düzeltme "yakında çıkacak 8.0.3") |
| FortiMail 7.6 | 7.6.0 – 7.6.6 | 7.6.7 |
| FortiMail 7.4 | 7.4.0 – 7.4.8 | 7.4.9 |
| FortiMail 7.2 | Tüm sürümler | Düzeltme yok, desteklenen hatta geçiş (yalnızca CVE-2026-126146 için "yakında çıkacak 7.2.10") |
| FortiMail 7.0 | Tüm sürümler (CVE-2026-126152) | Düzeltme yok, desteklenen hatta geçiş |
| FortiMail Cloud | Fortinet 5 Ekim'de güncelledi | Müşteri işlemi gerekmiyor |
| FortiAuthenticator 8.0 | 8.0.0 – 8.0.3 | 8.0.4 |
| FortiAuthenticator 6.6 | 6.6.0 – 6.6.10 | 6.6.11 |
| FortiAuthenticator 6.5 | 6.5.2 – 6.5.7 (CVE-2026-126241) | Düzeltme yok, desteklenen hatta geçiş |
| FortiRecorder 7.6 / 7.2 / 7.0 | 7.6.0 – 7.6.2 / 7.2.0 – 7.2.12 / 7.0.0 – 7.0.6 | Yakında çıkacak 7.6.3 / 7.2.13 / 7.0.7 |
| FortiVoice 8.0 / 7.4 / 7.2 / 7.0 | 8.0.0 – 8.0.1 / 7.4.0 – 7.4.2 / 7.2.0 – 7.2.5 / 7.0.0 – 7.0.8 | Yakında çıkacak 8.0.2 / 7.4.3 / 7.2.6 / 7.0.9 |
Tablo bildirimlerin üst sınırlarını birleştirir. CVE-2026-126158 yalnızca FortiMail 8.0'ı etkiliyor; CVE-2026-126144 ve CVE-2026-126146, 7.6 hattında 7.6.5, 7.4 hattında 7.4.7 ile kapanmıştı. Kesin aralık her FG-IR sayfasında.
Beni etkiliyor mu?
FortiMail ve FortiAuthenticator sürümünü CLI'dan salt okunur olarak görebilirsiniz:
get system statusSürüm tablodaki düzeltilmiş sürümden eskiyse etkileniyorsunuz. Dünkü haberdeki sürümlere (FortiMail 8.0.2, 7.6.7, 7.4.9; FortiAuthenticator 8.0.4, 6.6.11) geçtiyseniz bu haberdeki açıkların biri dışında hepsi de kapanmış durumda. İstisna, FortiMail 8.0.2'de hâlâ açık olan ve domain admin yetkisi gerektiren FG-IR-26-218. FortiMail 7.2 ve 7.0 kullananlar için düzeltme yok.
Ne yapılmalı?
- FortiMail'i 8.0.2, 7.6.7 ya da 7.4.9'a; FortiAuthenticator'ı 8.0.4 ya da 6.6.11'e yükseltin. İnternete açık FortiMail cihazları ilk sırada olmalı: kimlik doğrulama gerektirmeyen dört açık doğrudan bu arayüzleri ilgilendiriyor.
- FortiMail 7.2 ve 7.0 ile FortiAuthenticator 6.5 için desteklenen hatta geçişi planlayın.
- FortiMail 8.0.2 kullanıyorsanız 8.0.3 çıkana kadar domain admin hesaplarını gözden geçirin, kullanılmayanları kapatın ve yönetim arayüzünü yalnızca yönetim ağından erişilebilir tutun.
- FortiRecorder ve FortiVoice için düzeltilmiş sürümler bildirimde henüz "yakında" olarak geçiyor. Bu ürünlerin web arayüzlerini internete açmayın, sürüm çıkınca yükseltin.
- Karantina günlüklerinde beklenmedik serbest bırakma ve silme işlemlerini, FortiAuthenticator'da SAML ile gelen olağan dışı oturumları log'lardan izleyin.
- Yükseltmeyi change management sürecinde bakım penceresine alın; HA çiftlerinde sırayla ilerleyin.
Kaynaklar
- FortiGuard PSIRT — FG-IR-26-216 FortiMail SQL injection
- FortiGuard PSIRT — FG-IR-26-205 FortiMail path traversal
- FortiGuard PSIRT — FG-IR-26-212 FortiMail improper authentication in releasecontrol
- FortiGuard PSIRT — FG-IR-26-196 OS command injection in webmail
- FortiGuard PSIRT — FG-IR-26-255 FortiAuthenticator LDAP injection
- FortiGuard PSIRT — FG-IR-26-256 FortiAuthenticator SQL injection
