Fortinet FortiMail: RCE crítica CVE-2026-104286 ya explotada

El 1 de octubre de 2026 Fortinet publicó el boletín FG-IR-26-175 sobre una vulnerabilidad crítica en FortiMail, su pasarela de seguridad para el correo electrónico. La vulnerabilidad, CVE-2026-104286, tiene una puntuación CVSS 3.1 de 9.8 y permite a un atacante remoto no autenticado escribir archivos arbitrarios en el sistema y llegar a ejecutar código. Fortinet indica que ya se está explotando, y ese mismo día la CISA la incluyó en su catálogo Known Exploited Vulnerabilities (KEV).

En los días siguientes publicaron avisos varios CSIRT nacionales: en Europa el CERT-FR, el NCSC-NL, el CERT-SE, el NCSC-FI e INCIBE-CERT, además del Canadian Centre for Cyber Security.

Qué ha pasado

Según los avisos, el fallo está en la gestión de las rutas de archivos de FortiMail. Un atacante puede enviar al equipo solicitudes HTTP o HTTPS manipuladas y escribir archivos fuera del directorio previsto, sin necesidad de credenciales. El CERT-FR clasifica el riesgo como ejecución remota de código arbitrario; INCIBE-CERT precisa que la escritura de archivos puede llevar a la ejecución de código o comandos no autorizados y al compromiso del dispositivo.

Para el NCSC-FI, una explotación con éxito puede permitir comprometer el sistema FortiMail, instalar software malicioso y leer o manipular el tráfico de correo sin autorización. El CERT-FR señala que el boletín de Fortinet también contiene indicadores de compromiso.

Detalles técnicos

• CVE: CVE-2026-104286, CVSS 3.1 9.8 (crítica).
• Tipo de fallo: path traversal (CWE-22, limitación incorrecta de una ruta a un directorio restringido). El NCSC-FI indica también la neutralización incorrecta del carácter NULL (CWE-158).
• Vector: red, mediante solicitudes HTTP o HTTPS, sin autenticación. El CERT-SE indica que la vulnerabilidad afecta a la interfaz de administración de FortiMail.
• Versiones afectadas (según CERT-SE, NCSC-FI e INCIBE-CERT):
  • FortiMail 8.0 de la 8.0.0 a la 8.0.1;
  • FortiMail 7.6 de la 7.6.0 a la 7.6.6;
  • FortiMail 7.4 de la 7.4.0 a la 7.4.8;
  • FortiMail 7.2 de la 7.2.0 a la 7.2.9.
• Versiones corregidas: 8.0.2, 7.6.7 y 7.4.9 o posteriores. Para la rama 7.2 no hay corrección prevista: hay que migrarla a la rama 7.4, a la 7.4.9 o posterior.
• FortiMail Cloud: según INCIBE-CERT, Fortinet lo corrigió el 5 de octubre de 2026 y los clientes no tienen que hacer nada.
• Explotación: confirmada por Fortinet y por la CISA. Para la CISA, el uso en campañas de ransomware, por ahora, no se conoce. El plazo fijado para las agencias federales estadounidenses era el 4 de octubre.
• MITRE ATT&CK: la explotación de un servicio expuesto corresponde a T1190 (Exploit Public-Facing Application).

Un detalle sobre las fechas: el aviso del CERT-FR del 2 de octubre indicaba las versiones corregidas como de próxima publicación, mientras que el aviso de INCIBE-CERT del 8 de octubre indica actualizar a estas versiones. Antes de planificar la intervención, comprueba en el boletín de Fortinet qué builds están disponibles para tu rama.

Las clasificaciones de los organismos

Los organismos coinciden en la gravedad, con matices distintos. El NCSC-NL clasificó su aviso (NCSC-2026-0398) como M/H: probabilidad media y daño alto. El CERT-SE y el NCSC-FI hablan de una vulnerabilidad crítica y explotada activamente, e INCIBE-CERT le asigna el nivel de importancia más alto de su escala (5, crítica).

Impacto para las empresas europeas e italianas

FortiMail es una pasarela de seguridad para el correo electrónico: los mensajes de la organización pasan por ella. Por eso, como subraya el NCSC-FI, un equipo comprometido no es solo un sistema en manos del atacante, sino también un acceso al contenido del correo y la posibilidad de alterarlo. La explotación no requiere credenciales: lo único que cuenta es si la interfaz vulnerable es accesible.

Para las entidades incluidas en NIS2, el compromiso de la pasarela de correo es un incidente que hay que valorar para la notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN. Lo mismo vale para los centros sanitarios, donde el correo transporta a menudo datos personales y clínicos.

Qué hacer ya

1. Inventario: localiza todos los equipos FortiMail, físicos y virtuales, y la versión instalada en cada uno.
2. Actualiza: lleva la rama 8.0 a la 8.0.2, la 7.6 a la 7.6.7 y la 7.4 a la 7.4.9, o a versiones posteriores. Los equipos de la rama 7.2 deben migrarse a la 7.4.9 o posterior.
3. Si no puedes actualizar enseguida: Fortinet recomienda desactivar la función IBE (Identity-Based Encryption). Como alternativa, bloquea el acceso desde Internet a la interfaz de administración y permítelo solo desde redes internas de confianza; INCIBE-CERT cita también la interfaz de webmail entre las que conviene limitar a redes de confianza.
4. Busca indicios de compromiso: compara los equipos con los indicadores de compromiso publicados por Fortinet en el boletín FG-IR-26-175. El CERT-SE recomienda buscar comportamientos anómalos siguiendo las indicaciones del fabricante, revisar los registros de los últimos 3 meses y comprobar los cron jobs en busca de scripts sospechosos.
5. Si encuentras rastros: trata el equipo como comprometido, sigue las indicaciones de Fortinet y valora las obligaciones de notificación que se aplican a tu organización.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet, qué productos se reconocen en ellos y cuáles tienen vulnerabilidades conocidas: te ayuda a descubrir si una interfaz de administración es accesible desde fuera. ARX Sentry reúne en un colector central los registros de los firewalls y de otros dispositivos de red, para que los accesos y las conexiones anómalas queden a la vista de los analistas. Con ARX Horizon puedes consultar desde el portal los detalles de las vulnerabilidades y buscar indicadores de compromiso.

Última actualización: 8 de octubre de 2026