Sicherheitsforscher von Infoguard haben im weit verbreiteten SEPPmail Secure E-Mail Gateway mehrere kritische Schwachstellen entdeckt, die es Angreifern ermöglicht hätten, betroffene Systeme vollständig zu übernehmen und den gesamten E-Mail-Verkehr mitzulesen. Die Lücken betreffen vor allem Unternehmen im DACH-Raum, wo SEPPmail zu den etablierten Lösungen für verschlüsselte E-Mail-Kommunikation zählt. Auf der Suchmaschine Censys waren zum Zeitpunkt der Untersuchung mehrere Tausend öffentlich erreichbare Instanzen auffindbar.

Path-Traversal möglich

Im Zentrum der Entdeckungen steht CVE-2026-2743, eine Schwachstelle im Large-File-Transfer-Feature (LFT), die nach Angaben der Forscher bei der Mehrheit der Kunden aktiviert ist. Der Fehler liegt in der fehlenden Eingabebereinigung beim Chunked-Upload: Der Dateiname aus dem JSON-Payload landet ohne Validierung direkt in der Pfadkonstruktion des Dateisystems, was einen klassischen Path-Traversal-Angriff erlaubt. Über die Sequenz "../" können Angreifer beliebige Dateien auf dem System überschreiben, darunter die Konfigurationsdatei "/etc/syslog.conf".

Da OpenBSD-syslogd Log-Nachrichten in externe Prozesse pipen kann, lässt sich über einen manipulierten Eintrag in dieser Datei eine Perl-basierte Reverse Shell einschleusen. Der Reload der Konfiguration erfolgt automatisch über den Cron-Job "newsyslog", der alle 15 Minuten ausgeführt wird und bei ausreichend gefüllten Logdateien einen SIGHUP-Signal an syslogd sendet. Diesen Trigger können Angreifer durch schlichte Webanfragen provozieren. Eine Authentifizierung ist für die gesamte Angriffskette nicht erforderlich.

Code-Ausführung durch zweite Schwachstelle

Ebenfalls schwerwiegend ist CVE-2026-44128, eine Schwachstelle in der neuen GINA-V2-Schnittstelle. Der Endpunkt "/api.app/template" übergibt den nutzergelieferten Parameter "upldd" ungefiltert an ein Perl-"eval()"-Statement und führt damit beliebigen Code aus. Obwohl die Anwendungskonfiguration eigentlich Zugriffskontrollen vorsieht, fehlt die tatsächliche Prüfung auf Endpunktebene vollständig.

Diese Lücke wurde laut den Forschern still und ohne öffentliche Erwähnung in den Patch-Notes zwischen Version 15.0.0 und 15.0.2.1 geschlossen. Ergänzend dazu erlaubt CVE-2026-44127 über den Attachment-Preview-Endpunkt das Auslesen beliebiger Dateien auf dem System, darunter die lokale LDAP-Datenbank mit Nutzerdaten, Passwort-Hashes und Schlüsselmaterial. CVE-2026-7864 stellt einen ohne Authentifizierung erreichbaren Debug-Endpunkt dar, der auf Anfrage sämtliche Umgebungsvariablen des Servers zurückliefert.

Entdeckt auch dank KI-Agenten

Die Entdeckung der Schwachstellen erfolgte teilweise mithilfe von KI-gestützten LLM-Agenten, unter anderem dem Tool Gemini-CLI. Bereits innerhalb einer Stunde nach Zugriff auf den Quellcode lagen erste vielversprechende Kandidaten vor. Die koordinierte Offenlegung gegenüber SEPPmail begann am 12. Februar 2026 und gestaltete sich anfangs holprig: Ein Bericht ging im Anhang einer E-Mail verloren und musste erneut eingereicht werden.

Die zugehörigen CVEs wurden am 8. Mai 2026 veröffentlicht. Eine weitere, im dritten Report gemeldete RCE-Schwachstelle wurde von SEPPmail erst am 15. Mai 2026 bestätigt und ist noch nicht Gegenstand des aktuellen Berichts. Alle beschriebenen Lücken sind mittlerweile in den Versionen 15.0.2.1 bis 15.0.4 behoben.

Die Forscher betonen, dass Blue Teams auf virtuellen Appliances wie dem SEPPmail-Gateway in der Regel blind sind und Angriffe kaum erkennen können. Wer prüfen möchte, ob die LFT-Schwachstelle das eigene System betrifft, kann den Endpunkt "https://<gateway>/v1/file.app" aufrufen: Ein HTTP-404 signalisiert, dass das Feature nicht aktiv ist. Für alle anderen gilt: Update auf Version 15.0.4 oder höher.